CVE-2026-103849
Pubblicato da Adobe Systems Incorporated, 13 ott
CVSS 10 CRITICAL: adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability…
Vulnerabilità · 10 ore fa
BleepingComputer segnala una falla critica in Adobe Commerce e Magento, identificata come CVE-2026-103849, che può consentire l'esecuzione di PHP arbitrario sui server dello store. Per chi gestisce una piattaforma e-commerce, il punto non è solo il singolo sito esposto, ma il fatto che il server del negozio può diventare un punto di appoggio operativo per un attaccante.
Il bug fa sì che testo controllato dall'esterno venga trattato come istruzione dal template engine. In pratica, ciò che dovrebbe essere mostrato ai clienti viene interpretato come codice dal server, con la possibilità di eseguire comandi applicativi nel contesto del servizio e toccare checkout, dati ordine e altre risorse raggiungibili da quell'account.
Per gli operatori Magento e Adobe Commerce, soprattutto nel retail e per chi ospita storefront di terzi, la lettura corretta è che un compromesso della piattaforma può propagarsi oltre l'applicazione stessa. Finché non c'è un fix versionato nelle fonti, resta una vulnerabilità da trattare come esposizione immediata dell'intero ambiente collegato allo store.
Pubblicato da Adobe Systems Incorporated, 13 ott
CVSS 10 CRITICAL: adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability…
1 fonte che coprono questa storia
Critical BlockStrap flaw lets hackers run code on Magento servers
Researchers warn that hackers could soon exploit a maximum-severity vulnerability (CVE-2026-103849) affecting Magento and Adobe Commerce, potentially allowing them to execute arbitrary PHP code on store servers.
Part of the PlainSec briefing for 2026-10-17