CVE-2026-53787 - Amasty Order Attributes 未認証ファイルアップロード

説明

CVE-2026-53787 は、Magento 2 向け Amasty Order Attributes 拡張機能のバージョン 4.0.0 未満に存在する、重大な未認証の任意ファイルアップロード脆弱性です。この脆弱性により、攻撃者は認証、セッション検証、カートコンテキストを必要とせずに、任意の種類または名前のファイルをストアのメディアディレクトリにアップロードできます。

影響

この攻撃は認証情報を必要とせず、ネットワーク経由で実行できます。この脆弱性の CVSS スコアは 9.8（Critical）です。悪用に成功すると、以下につながる可能性があります：

• メディアディレクトリで PHP の実行が許可されている場合の Remote Code Execution (RCE)。攻撃者にサーバーの完全な制御を与えます。
• 信頼されたドメインを利用したマルウェアのホスティング
• HTML または SVG アップロードによる Stored Cross-Site Scripting (XSS)
• 意図されたアップロードディレクトリ外へのファイル書き込みを可能にするパストラバーサル攻撃

影響を受けるエンドポイント

この脆弱性は、以下の REST エンドポイントを対象としています：

POST /rest/V1/amasty_orderattr/uploadFile
POST /rest/all/V1/amasty_orderattr/uploadFile
POST /rest/default/V1/amasty_orderattr/uploadFile

悪用活動

大規模な悪用は、2026年6月12日にパッチがリリースされてから数時間後に始まりました。6月15日までに、全 Magento ストアの 25% に対して 12,000 件以上の悪用試行が検出されました。

修復策

• Amasty Order Attributes をバージョン 4.0.0 以降にアップグレードする
• メディアディレクトリで PHP の実行を無効化するように Web サーバーを設定する
• ファイルアップロードの厳格な検証と拡張子の許可リストを実装する