CVE-2026-53787 - Amasty Order Attributes Carga de archivos no autenticada

Descripción

CVE-2026-53787 es una vulnerabilidad crítica de carga de archivos arbitrarios no autenticada en la extensión Amasty Order Attributes para Magento 2 en versiones anteriores a la 4.0.0. La vulnerabilidad permite a los atacantes cargar archivos de cualquier tipo o nombre en el directorio de medios de la tienda sin requerir autenticación, validación de sesión ni contexto de carrito.

Impacto

El ataque no requiere credenciales y puede ejecutarse a través de la red. La vulnerabilidad tiene una puntuación CVSS de 9.8 (Crítica). Una explotación exitosa puede conducir a:

• Ejecución remota de código (RCE) si se permite la ejecución de PHP en el directorio de medios, lo que otorga a los atacantes el control total del servidor
• Alojamiento de malware utilizando el dominio de confianza
• Cross-Site Scripting (XSS) almacenado mediante cargas de HTML o SVG
• Ataques de path traversal para escribir archivos fuera del directorio de carga previsto

Endpoints afectados

La vulnerabilidad afecta a los siguientes endpoints REST:

POST /rest/V1/amasty_orderattr/uploadFile
POST /rest/all/V1/amasty_orderattr/uploadFile
POST /rest/default/V1/amasty_orderattr/uploadFile

Actividad de explotación

La explotación masiva comenzó horas después de que se publicara el parche el 12 de junio de 2026. Para el 15 de junio, se detectaron más de 12.000 intentos de explotación contra el 25% de todas las tiendas Magento.

Remedios

• Actualizar Amasty Order Attributes a la versión 4.0.0 o posterior
• Configurar el servidor web para deshabilitar la ejecución de PHP en el directorio de medios
• Implementar una validación estricta de carga de archivos y listas de permitidos de extensiones