CVE-2026-75650
एडोब कॉमर्स | टेम्पलेट इंजन में प्रयुक्त विशेष तत्वों का अनुचित न्यूट्रलाइज़ेशन (CWE-1336)
- प्रकाशित
- 7 सित॰ 2026
- अद्यतन
- 9 सित॰ 2026
- सीएनए असाइन करना
- adobe
- साक्ष्य देखे गए
- 8 सित॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 90.3%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Adobe Commerce एक टेम्पलेट इंजन में प्रयुक्त विशेष तत्वों के अनुचित न्यूट्रलाइज़ेशन (Improper Neutralization of Special Elements Used in a Template Engine) भेद्यता से प्रभावित है, जिसके परिणामस्वरूप वर्तमान उपयोगकर्ता के संदर्भ में मनमाना कोड निष्पादन (arbitrary code execution) हो सकता है। एक हमलावर इस भेद्यता का फायदा उठाकर मनमाना कोड निष्पादित कर सकता है। इस मुद्दे के शोषण के लिए उपयोगकर्ता की सहभागिता की आवश्यकता नहीं है। दायरा (Scope) बदल दिया गया है।
स्रोत
CVE-2026-75650 के लिए डिस्क्लोज़र पैक और लैब रिप्रोडक्शन स्क्रिप्ट, जो Magento Open Source GraphQL ईमेल टेम्पलेट्स में एक अनऑथेंटिकेटेड SSTI RCE है।
Docker lab reproducing the complete CVE-2026-75650 StyleSmuggler unauthenticated HTTP RCE and validating Adobe VULN-39341.
Python PoC जो CVE-2026-75650 StyleSmuggler को पुनः उत्पन्न करता है, जो report poisoning और failed-payment rendering के माध्यम से एक unauthenticated Magento RCE है, साथ में canary verification भी।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।