CVE-2026-103849

Nome do Software Vulnerável e Versões Afetadas Adobe Commerce versões 2.4.4 through 2.4.9 (antes dos lançamentos de segurança de outubro de 2026) Adobe Commerce B2B versões 1.3.x through 1.5.x Magento Open Source versões 2.4.6 through 2.4.9 (antes dos lançamentos de segurança de outubro de 2026)

Description Uma neutralização inadequada de elementos especiais usados em um mecanismo de template, especificamente no plugin de construtor de páginas BlockStrap, permite que atacantes remotos não autenticados realizem a injeção de template. Essa falha permite a execução de código PHP arbitrário no servidor subjacente sem a necessidade de interação do usuário ou privilégios administrativos. A exploração bem-sucedida pode levar ao comprometimento total do servidor, incluindo exfiltração de dados, implantação de webshell e movimentação lateral no ambiente de comércio eletrônico. O ataque é realizado por meio dos endpoints de API do plugin.

Recommendations Atualize o Adobe Commerce para os lançamentos de segurança correspondentes de outubro de 2026 (branches 2.4.4-2026-oct through 2.4.9-2026-oct). Atualize o Adobe Commerce B2B para a versão corrigida apropriada. Atualize o Magento Open Source para o lançamento de segurança correspondente de outubro de 2026. Como mitigação temporária, desative ou remova o plugin BlockStrap. Restrinja o acesso externo aos endpoints de API do plugin BlockStrap usando um Web Application Firewall (WAF) ou configuração de nível de servidor.