Aviso (del mapa de origen)

Firma del filtro de plantillas de correo de Magento str_replace; estilos de vista previa de correo; ArrayScanner::collectEntities include. Hotfix VULN-39341.

Entrada

• Método: POST
• Ruta: /graphql
• Enrutador: GraphQL no autenticado. Encabezado Store registrado sin escapar. SSTI de facturación del carrito de invitado introduce bloque Preview. Rechazo de Payflow renderiza correo e incluye la ruta de registro styles.first.
• Notas: CVE-2026-75650 no autenticado CWE-1336 Magento 2.4.8-p5. Testigo: GHSA75650-WITNESS en el cuerpo de handlePayflowProResponse. No es eval. No es un reverse shell.

Cadena de llamadas

• POST /graphql Store: <?= "GHSA75650-WITNESS" ?> logs into var/log/system.log
• createEmptyCart + setGuestEmailOnCart + setBillingAddressOnCart with nested {{var}}/{{block Preview}}
• POST /graphql?text=ColumnSet&styles={first:../var/log/system.log,...}&type=2 handlePayflowProResponse declined
• Preview processes styles; ArrayScanner::collectEntities include()s the log

Precondiciones del laboratorio

• Magento Open Source / Adobe Commerce 2.4.4-2.4.9 sin VULN-39341
• GraphQL storefront accesible

Testigo

El cuerpo HTTP de handlePayflowProResponse contiene GHSA75650-WITNESS del system.log incluido.

No es éxito

• payload eval/base64/system
• reverse shell
• VULN-39341 parcheado

Parche / remediación

Haga esto primero: Actualice Magento Open Source a VULN-39341 / APSB26-146 o posterior.

Verificar después de la actualización

• Vuelva a ejecutar CVE-2026-75650-Abraxas-Labs.py contra la compilación parcheada: el testigo mapeado no debe aparecer.
• Confirme el aviso del proveedor / conjunto de cambios en el árbol desplegado (ver referencias).
• Una firma de WAF es un retraso, no un parche.

Si no puede actualizar inmediatamente

• Deshabilite o aísle el componente afectado.
• Busque la condición del testigo en producción (nuevos usuarios privilegiados, archivos inesperados, filas inyectadas — lo que sea que nombre el mapa de este CVE).

Reproducción (laboratorio autorizado)

Apunte solo a http://127.0.0.1:8088 (o al loopback que haya vinculado). No apunte este script a internet.

El éxito es el testigo anterior en el cuerpo de la respuesta. Un HTML 200 genérico no lo es.

Imágenes del laboratorio

Pila de loopback utilizada para reproducir. Imágenes oficiales a menos que un Dockerfile en esta carpeta se compile desde el código fuente.

• lab/docker-compose.yml
• lab/Dockerfile
• lab/run.sh
• lab/setup-magento.sh

Vincule el árbol del producto vulnerable junto a Compose si el YAML monta un directorio local (zip del plugin / etiqueta de origen de la tabla de versiones). No publique nada excepto 127.0.0.1.

Referencias

• CVE-2026-75650 · NVD

• CVE-2026-75650 · CVE.org

• helpx.adobe.com/security/products/magento/apsb26-146.html

• sansec.io/research/stylesmuggler-0day

• www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-75650

• www.cve.org/CVERecord?id=CVE-2026-75650

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estructurados)

Licencia

Este paquete de divulgación está licenciado bajo la GNU Affero General Public License v3.0. Ver LICENSE.

Descargo de responsabilidad

Este paquete es para el proveedor, el propietario del sitio y laboratorios con licencia. El script se comunica con 127.0.0.1. Usarlo contra sistemas que no posee no está autorizado por Abraxas Labs. Sin garantía.

abraxaslabs.tech · github.com/abraxas · @abraxas_null