abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-48356

CVE-2026-48356

Magento Open Source 2.4.8-p5 — Adobe

Adobe Commerce は、危険な種類のファイルの無制限アップロードの脆弱性の影響を受け、現在のユーザーのコンテキストで任意のコード実行が可能になる可能性があります。

アドバイザリ（ソースマップより）

ImageContentValidator は、禁止された句読点を含まない任意のファイル名を許可します。ImageProcessor::getFileName は呼び出し元の拡張子を保持します。ゲストカートの file_info に対する option_id / option-type チェックはありません。ホットフィックス APSB26-73 / 2.4.8-2026-jul。

エントリ

• Method: POST
• Path: /rest/default/V1/guest-carts/{cartId}/items
• Router: 未認証の REST ゲストカート。file_info ポリグロットが ImageContentValidator をバイパスし、ファイル名は .php を保持します。pub/media/custom_options/quote/ に書き込まれます。
• Notes: 未認証 CVE-2026-48356 CWE-434 Magento 2.4.8-p5 PolyShell。ウィットネス: add-to-cart JSON 内の GHSA48356-WITNESS.php。eval ではありません。リバースシェルではありません。

コールチェーン

• POST /rest/default/V1/guest-carts がカート ID を返す
• POST /rest/default/V1/guest-carts/{id}/items に custom_options file_info GIF89a + <?= witness ?> を GHSA48356-WITNESS.php という名前で指定
• Magento\Framework\Api\ImageContentValidator::isValid は getimagesizefromstring のみ
• Magento\Catalog\Model\Webapi\Product\Option\Type\File\Processor が pub/media/custom_options/quote/.../GHSA48356-WITNESS.php を書き込む

ラボの前提条件

• Magento Open Source / Adobe Commerce で APSB26-73 未適用の 2.4.8-p5 / 2.4.9 まで
• REST ゲストカートに到達可能
• 少なくとも 1 つの販売可能なシンプル商品 SKU（lab-sku）

ウィットネス

ゲストカートの add-item HTTP JSON に GHSA48356-WITNESS.php が含まれる

成功ではないもの

• eval/base64/system ペイロード
• リバースシェル
• パッチ適用済み APSB26-73

パッチ / 修復

まずこれを実行: Magento Open Source を 2.4.8-2026-jul / APSB26-73 以降に更新してください。

アップグレード後の確認

• パッチ適用済みビルドに対して CVE-2026-48356-Abraxas-Labs.py を再実行します。マップされたウィットネスが出現しないことを確認してください。
• デプロイされたツリー内のベンダーアドバイザリ / チェンジセットを確認します（参考資料を参照）。
• WAF シグネチャは遅延であり、パッチではありません。

すぐに更新できない場合

• 影響を受けるコンポーネントを無効化または隔離します。
• 本番環境でウィットネス条件を探します（新しい特権ユーザー、予期しないファイル、注入された行など、この CVE のマップが示すもの）。

再現（許可されたラボ）

http://127.0.0.1:8088（またはバインドしたループバック）のみを対象にしてください。このスクリプトをインターネットに向けないでください。

python3 CVE-2026-48356-Abraxas-Labs.py

成功とは、レスポンスボディに上記のウィットネスが含まれることです。一般的な 200 HTML は成功ではありません。

ラボイメージ

再現に使用したループバックスタック。このフォルダ内の Dockerfile がソースからビルドする場合を除き、公式イメージを使用します。

• lab/docker-compose.yml
• lab/Dockerfile
• lab/run.sh
• lab/seed-product.sh
• lab/setup-magento.sh

cd lab
docker compose up --force-recreate

YAML がローカルディレクトリをマウントする場合（バージョンテーブルのプラグイン zip / ソースタグ）、Compose の隣に脆弱な製品ツリーをバインドします。127.0.0.1 以外は公開しないでください。

参考資料

• CVE-2026-48356 · NVD

• CVE-2026-48356 · CVE.org

• helpx.adobe.com/security/products/magento/apsb26-73.html

• sansec.io/research/magento-polyshell

• www.cve.org/CVERecord?id=CVE-2026-48356

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

レコード（構造化）

# CVE-2026-48356 (PolyShell)

CWE: CWE-434
CVSS: Critical 9.3 (Adobe CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N). Sansec: unauthenticated REST upload.

## Description

Unauthenticated unrestricted file upload in Magento/Adobe Commerce guest-cart REST custom options. A GIF89a polyglot with a `.php` name bypasses `ImageContentValidator` and is written to `pub/media/custom_options/quote/`.

## Product

Magento Open Source 2.4.8-p5 (affected through 2.4.9 / 2.4.8-p5). Lab oracle is a witness filename in the REST body, not a shell.

ライセンス

この開示パックは GNU Affero General Public License v3.0 の下でライセンスされています。LICENSE を参照してください。

免責事項

このパックはベンダー、サイト所有者、およびライセンスを受けたラボ向けです。スクリプトは 127.0.0.1 と通信します。所有していないシステムに対して使用することは、Abraxas Labs によって許可されていません。保証はありません。

abraxaslabs.tech · github.com/abraxas · @abraxas_null