EXPLOIT PÚBLICOEXPLOTADA ACTIVAMENTEDetectada 26 OCT · 10:46

CVE-2026-75650 Ejecución de código por neutralización incorrecta en motor de plantillas en Adobe Commerce

Una neutralización incorrecta de elementos especiales en un motor de plantillas permite la ejecución de código arbitrario en el contexto del usuario actual. La explotación no requiere interacción del usuario.

10.0CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/1199,4 % · percentil 99
Explotada activamenteSí, desde 08/09 · remediar antes del 11/09
Exploit públicoSí, 1

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 8 de septiembre de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 11 de septiembre de 2026. Corregirla es prioritario.

Afectados

Adobe Adobe Commerce
0
Adobe Adobe Commerce B2B
0
Adobe Magento Open Source
0

Qué hacer

Verificá si usás Adobe Commerce y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: ya se usa en ataques reales.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

basesixtythree/B63-POC-CVE-2026-75650 CVE-2026-75650 (StyleSmuggler): unauthenticated RCE via template injection in Magento Open Source / Adobe Commerce 2.4.4–2.4.9 — b63 showcase, lab-verified with patched-build negative test26 OCT · 10:46

Calculadora CVSS

CVSS 3.1 · 10.0 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceCambiado
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

Adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.

Referencias (2)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.