PT-2026-43258 · Mirasvit · Full Page Cache Warmer
Sansec
·
Publicado
2026-05-26
·
Atualizado
2026-06-12
·
CVE-2026-45247
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Mirasvit Full Page Cache Warmer for Magento 2 versões anteriores a 1.11.12
Description
Um problema de injeção de objeto PHP existe devido ao uso irrestrito da função nativa
unserialize(). Atacantes não autenticados podem alcançar a execução remota de código fornecendo um objeto PHP serializado manipulado no cookie CacheWarmer, aproveitando cadeias de gadgets disponíveis no Magento e em suas dependências. Esta falha tem sido explorada ativamente para implantar web shells e criar contas administrativas, afetando milhares de lojas Adobe Commerce.Recommendations
Atualize para a versão 1.11.12 ou posterior.
Como mitigação temporária, restrinja ou monitore o uso do cookie
CacheWarmer para minimizar o risco de exploração.Correção
RCE
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Full Page Cache Warmer