CVE-2026-103849 Ejecución de código por neutralización de plantillas en Adobe Commerce

Qué es CVE-2026-103849

Adobe Commerce presenta una vulnerabilidad de neutralización incorrecta de elementos especiales en un motor de plantillas que podría permitir la ejecución de código arbitrario en el contexto del usuario actual, con posible acceso elevado o control de la cuenta o sesión de la víctima. La explotación no requiere interacción del usuario.

Productos y versiones afectadas

• Adobe Adobe Commerce

  • 0

• Adobe Adobe Commerce B2B

  • 0

• Adobe Magento Open Source

  • 0

Qué hacer

1. Verificá si usás Adobe Commerce y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• dinosn/cve-2026-103849-blockstrap-lab ↗CVE-2026-103849 (BlockStrap) reproduction lab: unauthenticated {{block}} injection on Magento 2.4.9 via guest GraphQL, A/B vs APSB26-153; command execution only through a labeled synthetic gadget, not stock classes.PUBLICADO 18 OCT · 16:51

Calculadora CVSS

CVSS 3.1 · 10.0 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

Adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue does not require user interaction. Scope is changed.

Referencias

• www.adobe.com/trust/security/products/commerce/apsb26-153.htmlVENDOR-ADVISORY
• github.com/dinosn/cve-2026-103849-blockstrap-labEXPLOIT

Historial de la alerta

1. 18 OCT · 16:51EXPLOIT PÚBLICO Se publicó el repositorio dinosn/cve-2026-103849-blockstrap-lab.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.