CVE-2026-48358

RCE w Adobe Commerce — błąd kodowania wyjścia (CVE-2026-48358)

CVSS 9.1v3.1pub. 2026-07-14upd. 2026-08-28

Adobe Commerce zawiera podatność klasy Improper Encoding or Escaping of Output (CWE-116), która umożliwia zdalne wykonanie dowolnego kodu (RCE) w kontekście bieżącego użytkownika. Mimo wymaganych wysokich uprawnień podatność jest krytyczna ze względu na brak konieczności interakcji użytkownika oraz zmianę zakresu (Scope Changed).

▸ Pokaż oryginał (EN)

Adobe Commerce is affected by an Improper Encoding or Escaping of Output vulnerability that could result in arbitrary code execution in the context of the current user. An attacker with high privileges could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowego kodowania lub eskejpowania danych wyjściowych w Adobe Commerce. Atakujący posiadający wysokie uprawnienia w aplikacji może spreparować odpowiednie dane wejściowe, które — z powodu braku właściwego przetwarzania wyjścia — zostaną zinterpretowane i wykonane jako kod. Zmiana zakresu (S:C) oznacza, że skutki exploitacji mogą wykraczać poza bezpośrednio atakowany komponent i dotknąć szerszej infrastruktury.

Skutki

Atakujący może wykonać dowolny kod w kontekście bieżącego użytkownika aplikacji, co może prowadzić do pełnego przejęcia kontroli nad systemem, wycieku danych oraz naruszenia integralności i dostępności usługi.