CVE-2025-54236

Nome do Software Vulnerável e Versões Afetadas Adobe Commerce versões anteriores a 2.4.9-alpha2

Descrição O Adobe Commerce e o Magento Open Source são afetados por uma falha de validação inadequada de entrada no módulo Custom Attributes Serializable. Este problema permite que um invasor remoto ignore recursos de segurança e realize o sequestro de sessão sem a interação do usuário, capturando e reutilizando tokens de sessão. Em ambientes que utilizam armazenamento de sessão baseado em arquivos, um invasor pode injetar um payload serializado malicioso, resultando na execução remota de código (RCE) com as permissões do servidor web. Esta vulnerabilidade tem sido explorada ativamente, com mais de 1.000 APIs visadas e 216 sites totalmente comprometidos, concedendo aos invasores acesso root e permitindo a implantação de web shells PHP. O processo de exploração envolve o direcionamento da API REST do Commerce para executar comandos e extrair arquivos sensíveis do sistema, como listagens de contas de usuário.

Recomendações Atualize o Adobe Commerce para a versão 2.4.9-alpha2 ou posterior. Atualize o módulo Custom Attributes Serializable para a versão 0.4.0 ou superior. Como mitigação temporária, desative o armazenamento de sessão baseado em arquivos para limitar a exposição à execução remota de código.