CVE-2026-75650criticalbajo ataqueCWE-1336

CVE-2026-75650: fallo crítico en Adobe Commerce

Adobe Commerce | Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Adobe Commerce+ Monitorear Magento

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene alerta oficial del gobierno de Brasil y tiene exploit funcional público.

ssvc Actcvss 10epss 35%
de la publicación al armael mismo día
Publicada en NVD7 sept
1ª PoC7 sept
CISA KEV+1d
Alerta oficial en Brasil

El gobierno federal de Brasil publicó una alerta, recomendación o boletín que cita esta vulnerabilidad.

  • CTIR Gov · ALERTA 85/2026 · 25 sep 2026Vulnerabilidade crítica que afeta o Adobe Commerce and Magentoleer en gov.br ↗
Fuente: CTIR Gov (GSI) y CISC Gov.br, bajo licencia CC BY-ND 3.0.
Acción exigida por CISAplazo federal: 2026-09-11

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Adobe Commerce tiene una falla crítica en cómo procesa código de plantilla, permitiendo que atacantes ejecuten comandos maliciosos en el servidor sin necesidad de engañar a usuarios. Esto puede dar a los atacantes control total sobre el sitio web y los datos de clientes.

Detalle técnico

La vulnerabilidad implica una neutralización inadecuada de elementos especiales en un motor de plantillas (CWE-1336), permitiendo ejecución arbitraria de código en el contexto de la aplicación. La explotación no requiere interacción del usuario y cambia el alcance de impacto, afectando recursos más allá del componente vulnerable. El vector de ataque es probablemente basado en red a través de inyección de plantilla.

Resumen generado y traducido por IA a partir de la descripción oficial.
Adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Productos afectados
Adobe · Adobe CommerceAdobe · Adobe Commerce B2BAdobe · Magento Open Source
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Adobe Commerce

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-34102CRITICALXXE can expose crypt key and other secrets granting full admin accessEPSS 100.0%KEVCVE-2025-54236CRITICALAdobe Commerce | Improper Input Validation (CWE-20)EPSS 95.4%KEVCVE-2026-71362CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 90.5%KEVCVE-2026-48356CRITICALAdobe Commerce | Unrestricted Upload of File with Dangerous Type (CWE-434)EPSS 47.5%CVE-2026-34648HIGHAdobe Commerce | Uncontrolled Resource Consumption (CWE-400)EPSS 21.4%CVE-2025-24434CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 17.2%