EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTEDetectada 27 OCT · 09:00

CVE-2026-48356 Carga irrestricta de archivos peligrosos en Adobe Commerce

Una vulnerabilidad de carga irrestricta de archivos con tipo peligroso en Adobe Commerce podría permitir la ejecución de código arbitrario en el contexto del usuario actual, con posible acceso elevado o control de la cuenta o sesión de la víctima. Su explotación requiere interacción del usuario, que debe visitar una URL maliciosa o interactuar con una página web comprometida.

9.3CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/1147,5 % · percentil 98
Explotada activamenteSí, desde 27/10 · remediar antes del 10/11
Exploit públicoSí, 2

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 27 de octubre de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 10 de noviembre de 2026. Corregirla es prioritario.

Afectados

Adobe Adobe Commerce
0
Adobe Adobe Commerce B2B
0
Adobe Magento Open Source
0
Adobe Adobe Commerce Events
hasta 1.20.0

Qué hacer

Verificá si usás Adobe Commerce y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: ya se usa en ataques reales.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 9.3 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioRequerida
AlcanceCambiado
ConfidencialidadAlta
IntegridadAlta
DisponibilidadNinguna

Descripción original

Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.

Referencias (4)

Historial (3)

27 OCT · 09:00EXPLOTADA ACTIVAMENTEIncluida en el catálogo de explotación activa de CISA.
27 OCT · 22:46EXPLOIT PÚBLICOSe publicó piecar21/CVE-2026-48356.
06 NOV · 23:02EXPLOIT PÚBLICOSe publicó Ghost-Bx1/cve-2026-48356-magento-file-upload-rce.

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.