Advisory (स्रोत मैप से)

ImageContentValidator किसी भी फ़ाइलनाम को बिना निषिद्ध विराम चिह्नों के अनुमति देता है। ImageProcessor::getFileName कॉलर एक्सटेंशन रखता है। guest cart file_info पर कोई option_id / option-type जाँच नहीं। Hotfix APSB26-73 / 2.4.8-2026-jul.

Entry

• Method: POST
• Path: /rest/default/V1/guest-carts/{cartId}/items
• Router: Unauthenticated REST guest cart. file_info polyglot ImageContentValidator को बायपास करता है; फ़ाइलनाम .php रखता है। pub/media/custom_options/quote/ में लिखा जाता है।
• Notes: Unauthenticated CVE-2026-48356 CWE-434 Magento 2.4.8-p5 PolyShell. Witness: add-to-cart JSON में GHSA48356-WITNESS.php. eval नहीं। reverse shell नहीं।

Call chain

• POST /rest/default/V1/guest-carts cart id लौटाता है
• POST /rest/default/V1/guest-carts/{id}/items with custom_options file_info GIF89a + <?= witness ?> नाम GHSA48356-WITNESS.php
• Magento\Framework\Api\ImageContentValidator::isValid केवल getimagesizefromstring
• Magento\Catalog\Model\Webapi\Product\Option\Type\File\Processor pub/media/custom_options/quote/.../GHSA48356-WITNESS.php लिखता है

Lab preconditions

• Magento Open Source / Adobe Commerce 2.4.8-p5 / 2.4.9 तक APSB26-73 के बिना
• REST guest-carts पहुँच योग्य
• कम से कम एक विक्रय योग्य simple product SKU (lab-sku)

Witness

guest-cart add-item HTTP JSON में GHSA48356-WITNESS.php शामिल है

Not success

• eval/base64/system payload
• reverse shell
• patched APSB26-73

Patch / remediation

पहले यह करें: Magento Open Source को 2.4.8-2026-jul / APSB26-73 या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

• पैच किए गए बिल्ड के विरुद्ध CVE-2026-48356-Abraxas-Labs.py को पुनः चलाएँ: मैप किया गया witness नहीं दिखना चाहिए।
• तैनात ट्री में vendor advisory / changeset की पुष्टि करें (संदर्भ देखें)।
• WAF सिग्नेचर देरी है, पैच नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित घटक को अक्षम या अलग करें।
• उत्पादन पर witness स्थिति की खोज करें (नए विशेषाधिकार प्राप्त उपयोगकर्ता, अप्रत्याशित फ़ाइलें, इंजेक्ट की गई पंक्तियाँ — जो भी इस CVE का मैप नाम देता है)।

Reproduction (authorized lab)

केवल http://127.0.0.1:8088 (या आपके द्वारा बाइंड किया गया loopback) को लक्षित करें। इस स्क्रिप्ट को इंटरनेट पर निर्देशित न करें।

सफलता प्रतिक्रिया बॉडी में उपरोक्त witness है। सामान्य 200 HTML यह नहीं है।

Lab images

प्रतिलिपि बनाने के लिए उपयोग किया गया Loopback स्टैक। आधिकारिक इमेज, जब तक इस फ़ोल्डर में Dockerfile स्रोत से बिल्ड न करे।

• lab/docker-compose.yml
• lab/Dockerfile
• lab/run.sh
• lab/seed-product.sh
• lab/setup-magento.sh

यदि YAML स्थानीय निर्देशिका को माउंट करता है तो Compose के बगल में कमजोर उत्पाद ट्री को बाइंड करें (संस्करण तालिका से plugin zip / source tag)। 127.0.0.1 के अलावा कुछ भी प्रकाशित न करें।

References

• CVE-2026-48356 · NVD

• CVE-2026-48356 · CVE.org

• helpx.adobe.com/security/products/magento/apsb26-73.html

• sansec.io/research/magento-polyshell

• www.cve.org/CVERecord?id=CVE-2026-48356

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

License

यह disclosure pack GNU Affero General Public License v3.0 के अंतर्गत लाइसेंस प्राप्त है। देखें LICENSE।

Disclaimer

यह pack vendor, साइट स्वामी, और लाइसेंस प्राप्त लैब्स के लिए है। स्क्रिप्ट 127.0.0.1 से बात करती है। उन सिस्टमों के विरुद्ध इसका उपयोग करना जो आपके स्वामित्व में नहीं हैं, Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null