CVE-2026-71362criticalbajo ataqueCWE-863

CVE-2026-71362: fallo crítico en Adobe Commerce

Adobe Commerce | Incorrect Authorization (CWE-863)

Publicada el · Actualizada el

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.1epss 88%
de la publicación al arma4 días
Publicada en NVD11 ago
1ª PoC+4d
CISA KEV+44d
probabilidad de explotación
88%top 1% de las CVE
explotación observada
síCISA + VulnCheck
2 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2026-09-27

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Adobe Commerce tiene una falla que permite a atacantes eludir verificaciones de permisos y obtener acceso no autorizado a datos o funciones sensibles. No se requiere interacción del usuario para explotarla.

Detalle técnico

CWE-863 Autorización Incorrecta en Adobe Commerce posibilita escalación de privilegios por validación inadecuada de control de acceso. Los atacantes pueden explotar esta vulnerabilidad sin requerir interacción del usuario para acceder a recursos restringidos o funciones administrativas.

Resumen generado y traducido por IA a partir de la descripción oficial.
Adobe Commerce is affected by an Incorrect Authorization vulnerability that could result in privilege escalation. An attacker could leverage this vulnerability to gain elevated access to sensitive resources. Exploitation of this issue does not require user interaction.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Productos afectados
Adobe · Adobe CommerceAdobe · Adobe Commerce B2BAdobe · Magento Open Source
PoCs públicas encontradas — 2
githubgithub.com/dinosn/cve-2026-71362-magento-lab★ 5vulncheckvulncheck.com/xdb/964b9b046620no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Adobe Commerce

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-34102CRITICALXXE can expose crypt key and other secrets granting full admin accessEPSS 100.0%KEVCVE-2025-54236CRITICALAdobe Commerce | Improper Input Validation (CWE-20)EPSS 94.5%KEVCVE-2026-75650CRITICALAdobe Commerce | Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336)EPSS 3.9%KEVCVE-2025-24434CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 17.2%CVE-2024-20720CRITICALCommand injection in data collector backup due to insufficient patching of CVE-2023-38208EPSS 3.7%CVE-2021-36023CRITICALMagento Commerce Widgets Update Layout XML Injection Vulnerability Could Lead To Remote Code ExecutionEPSS 2.4%
Referencias
https://helpx.adobe.com/security/products/magento/apsb26-92.htmlhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-71362