CVE-2026-53787 - Amasty Order Attributes Téléchargement de fichier non authentifié

Description

CVE-2026-53787 est une vulnérabilité critique de téléchargement de fichier arbitraire non authentifié dans l'extension Amasty Order Attributes pour Magento 2 dans les versions antérieures à 4.0.0. La vulnérabilité permet à des attaquants de télécharger des fichiers de tout type ou nom dans le répertoire média de la boutique sans nécessiter d'authentification, de validation de session ou de contexte de panier.

Impact

L'attaque ne requiert aucun identifiant et peut être exécutée sur le réseau. La vulnérabilité a un score CVSS de 9,8 (Critique). Une exploitation réussie peut conduire à :

• Exécution de code à distance (RCE) si l'exécution de PHP est autorisée dans le répertoire média, donnant aux attaquants un contrôle total du serveur
• Hébergement de logiciels malveillants à l'aide du domaine de confiance
• Cross-Site Scripting (XSS) stocké via des téléchargements HTML ou SVG
• Attaques de traversée de chemin pour écrire des fichiers en dehors du répertoire de téléchargement prévu

Points de terminaison affectés

La vulnérabilité cible les points de terminaison REST suivants :

POST /rest/V1/amasty_orderattr/uploadFile
POST /rest/all/V1/amasty_orderattr/uploadFile
POST /rest/default/V1/amasty_orderattr/uploadFile

Activité d'exploitation

L'exploitation de masse a commencé quelques heures après la publication du correctif le 12 juin 2026. D'ici le 15 juin, plus de 12 000 tentatives d'exploitation ont été détectées contre 25 % de toutes les boutiques Magento.

Remédiation

• Mettre à niveau Amasty Order Attributes vers la version 4.0.0 ou une version ultérieure
• Configurer le serveur web pour désactiver l'exécution de PHP dans le répertoire média
• Mettre en œuvre une validation stricte du téléchargement de fichiers et des listes d'autorisation d'extensions