CVE-2026-48356
Adobe Adobe Commerce
Resumen
Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim…
Publicada: 2026-07-14 · En KEV desde: 2026-10-27
Análisis
🔴 Crítica — explotación activa
Tipo de fallo: Subida de ficheros sin restricción (CWE-434). Permite subir ficheros peligrosos (p. ej. webshells).
Cómo se explota: Explotable por red (accesible desde internet), sin autenticación, si la víctima interactúa (abrir archivo/clic), y con baja complejidad. El fallo puede saltar a otros componentes (scope cambiado).
Impacto: Confidencialidad alta · Integridad alta · Disponibilidad ninguna.
Estado: Explotación activa confirmada por CISA (KEV).
- Parchea ya: está en el catálogo de explotación activa de CISA (KEV), con fecha límite.
- Reduce exposición: no lo expongas a internet; firewall, VPN o segmentación de red.
- Concienciación: el ataque necesita que la víctima interactúe (phishing/archivo).
- Detecta: convierte esta CVE en reglas de detección.
Técnica MITRE ATT&CK: T1190 · Exploit Public-Facing Application
Practícalo en el arsenal: WAF Bypass
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
El vector codifica cómo se explota (lo tienes traducido arriba, en el análisis). Desglósalo en la herramienta CVSS →
Fuentes: CISA KEV · EPSS · FIRST.org · NVD. Análisis derivado del vector CVSS y del estado de explotación (sin IA). Informativo; contrasta siempre con la fuente oficial del fabricante.