CVE-2026-75650criticalsob ataqueCWE-1336

CVE-2026-75650: falha crítica em Adobe Commerce

Adobe Commerce | Improper Neutralization of Special Elements Used in a Template Engine (CWE-1336)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Adobe Commerce+ Monitorar Magento

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

100Vexday Risk Score

Corrija agora. Ela está sob exploração confirmada pelo CISA, tem alerta oficial do governo brasileiro e tem exploit funcional público.

ssvc Actcvss 10epss 35%
da publicação à armano mesmo dia
Publicada no NVD7 de set.
1ª PoC7 de set.
CISA KEV+1d
Alerta oficial no Brasil

O governo federal publicou alerta, recomendação ou boletim que cita esta vulnerabilidade.

  • CTIR Gov · ALERTA 85/2026 · 25 set 2026Vulnerabilidade crítica que afeta o Adobe Commerce and Magentoler no gov.br ↗
Fonte: CTIR Gov (GSI) e CISC Gov.br, sob licença CC BY-ND 3.0.
Ação exigida pela CISAprazo federal: 2026-09-11

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Em resumo

Adobe Commerce possui uma falha crítica na forma como processa códigos de modelo (templates), permitindo que atacantes executem comandos maliciosos no servidor sem enganar os usuários. Isso pode dar aos atacantes controle total sobre o site e dados dos clientes.

Detalhe técnico

A vulnerabilidade envolve neutralização inadequada de elementos especiais em um motor de templates (CWE-1336), possibilitando execução de código arbitrário no contexto da aplicação. A exploração não requer interação do usuário e altera o escopo de impacto, afetando recursos além do componente vulnerável. O vetor de ataque é provavelmente baseado em rede através de injeção de template.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Adobe Commerce is affected by an Improper Neutralization of Special Elements Used in a Template Engine vulnerability that could result in arbitrary code execution in the context of the current user. An attacker could exploit this vulnerability to execute arbitrary code. Exploitation of this issue does not require user interaction. Scope is changed.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Produtos afetados
Adobe · Adobe CommerceAdobe · Adobe Commerce B2BAdobe · Magento Open Source
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Adobe Commerce

No mesmo produto, das mais perigosas para as menos.

CVE-2024-34102CRITICALXXE can expose crypt key and other secrets granting full admin accessEPSS 100.0%KEVCVE-2025-54236CRITICALAdobe Commerce | Improper Input Validation (CWE-20)EPSS 95.4%KEVCVE-2026-71362CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 90.5%KEVCVE-2026-48356CRITICALAdobe Commerce | Unrestricted Upload of File with Dangerous Type (CWE-434)EPSS 47.5%CVE-2026-34648HIGHAdobe Commerce | Uncontrolled Resource Consumption (CWE-400)EPSS 21.4%CVE-2025-24434CRITICALAdobe Commerce | Incorrect Authorization (CWE-863)EPSS 17.2%