CVE-2026-45247criticalbajo ataqueCWE-502

CVE-2026-45247: fallo crítico en Mirasvit Full Page Cache Warmer for Magento 2

Mirasvit Cache Warmer for Magento < 1.11.12 PHP Object Injection

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Full Page Cache Warmer for Magento

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

83Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 9.3epss 26%
de la publicación al arma9 días
Publicada en NVD26 may
1ª PoC+9d
CISA KEV+8d
Acción exigida por CISAplazo federal: 2026-06-06

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

En resumen

Una vulnerabilidad en la extensión Mirasvit Cache Warmer de Magento permite que atacantes envíen una cookie especialmente manipulada para ejecutar código malicioso en el servidor sin necesidad de autenticarse. El problema ocurre porque la extensión procesa datos serializados de forma insegura.

Detalle técnico

La vulnerabilidad explota desserialización insegura a través de la función nativa unserialize() de PHP en el parámetro cookie CacheWarmer sin validación. Atacantes no autenticados pueden aprovechar gadget chains disponibles en Magento y sus dependencias para lograr ejecución remota de código. No se requiere autenticación ni interacción del usuario; una única solicitud HTTP con un objeto serializado malicioso es suficiente para la explotación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Mirasvit Full Page Cache Warmer for Magento 2 before version 1.11.12 contains a PHP object injection vulnerability that allows unauthenticated attackers to achieve remote code execution by supplying a crafted serialized PHP object in the CacheWarmer cookie. Attackers can exploit the unrestricted call to PHP's native unserialize() function combined with gadget chains available in Magento and its dependencies to execute arbitrary code on the server.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
Mirasvit · Full Page Cache Warmer for Magento 2
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.