CVE-2026-128046

Nome do Software Vulnerável e Versões Afetadas OpenMage magento-lts versões 20.17.0 até 20.18.1 OpenMage magento-lts versões 21.0.0-beta1 até 21.0.0-beta2

Description Um problema de upload de arquivo irrestrito existe porque a lista de bloqueio general/file/protected extensions não inclui as extensões phar, php8 e phps. Atacantes não autenticados podem fazer o upload de um arquivo .phar através de uma opção personalizada de arquivo de produto para um caminho previsível em media/custom options. Se o servidor mapear arquivos .phar para PHP e servir esse diretório, o arquivo enviado pode ser solicitado diretamente para executar código arbitrário.

Recommendations Atualizar OpenMage magento-lts versões 20.17.0 até 20.18.1 para a versão 20.18.2. Atualizar OpenMage magento-lts versões 21.0.0-beta1 até 21.0.0-beta2 para a versão 21.0.0-beta3.