abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-48356

CVE-2026-48356

Magento Open Source 2.4.8-p5 — Adobe

Adobe Commerce는 위험한 유형의 파일 무제한 업로드 취약점의 영향을 받으며, 이는 현재 사용자 권한으로 임의 코드 실행으로 이어질 수 있습니다.

권고 (소스 맵에서 발췌)

ImageContentValidator는 금지된 문장 부호가 없는 모든 파일 이름을 허용합니다. ImageProcessor::getFileName은 호출자의 확장자를 유지합니다. 게스트 카트 file_info에 대한 option_id / option-type 검사가 없습니다. 핫픽스 APSB26-73 / 2.4.8-2026-jul.

진입점

• 메서드: POST
• 경로: /rest/default/V1/guest-carts/{cartId}/items
• 라우터: 인증 불필요 REST 게스트 카트. file_info 폴리글랏이 ImageContentValidator를 우회하며, 파일 이름은 .php를 유지합니다. pub/media/custom_options/quote/에 기록됩니다.
• 비고: 인증 불필요 CVE-2026-48356 CWE-434 Magento 2.4.8-p5 PolyShell. 증거: add-to-cart JSON 내 GHSA48356-WITNESS.php. eval 아님. 리버스 셸 아님.

호출 체인

• POST /rest/default/V1/guest-carts가 cart id를 반환
• POST /rest/default/V1/guest-carts/{id}/items with custom_options file_info GIF89a + <?= witness ?> named GHSA48356-WITNESS.php
• Magento\Framework\Api\ImageContentValidator::isValid getimagesizefromstring만 수행
• Magento\Catalog\Model\Webapi\Product\Option\Type\File\Processor가 pub/media/custom_options/quote/.../GHSA48356-WITNESS.php에 기록

랩 사전 조건

• APSB26-73이 없는 Magento Open Source / Adobe Commerce 2.4.8-p5 / 2.4.9까지
• REST guest-carts 접근 가능
• 최소 하나의 판매 가능한 단순 상품 SKU (lab-sku)

증거

guest-cart add-item HTTP JSON에 GHSA48356-WITNESS.php 포함

성공 아님

• eval/base64/system 페이로드
• 리버스 셸
• 패치된 APSB26-73

패치 / 완화

먼저 이것을 하십시오: Magento Open Source를 2.4.8-2026-jul / APSB26-73 이상으로 업데이트하십시오.

업그레이드 후 검증

• 패치된 빌드에 대해 CVE-2026-48356-Abraxas-Labs.py를 다시 실행하십시오: 매핑된 증거가 나타나지 않아야 합니다.
• 배포된 트리에서 벤더 권고 / 변경 집합을 확인하십시오 (참조 참조).
• WAF 시그니처는 지연일 뿐, 패치가 아닙니다.

즉시 업데이트할 수 없는 경우

• 영향받는 구성 요소를 비활성화하거나 격리하십시오.
• 프로덕션에서 증거 조건을 탐색하십시오 (새로운 권한 사용자, 예상치 못한 파일, 주입된 행 — 이 CVE의 맵이 명시하는 모든 것).

재현 (승인된 랩)

오직 http://127.0.0.1:8088 (또는 바인딩한 루프백)만 대상으로 하십시오. 이 스크립트를 인터넷을 향해 지정하지 마십시오.

python3 CVE-2026-48356-Abraxas-Labs.py

성공은 응답 본문에 위의 증거가 있는 것입니다. 일반적인 200 HTML은 아닙니다.

랩 이미지

재현에 사용된 루프백 스택. 이 폴더의 Dockerfile이 소스에서 빌드하지 않는 한 공식 이미지입니다.

• lab/docker-compose.yml
• lab/Dockerfile
• lab/run.sh
• lab/seed-product.sh
• lab/setup-magento.sh

cd lab
docker compose up --force-recreate

YAML이 로컬 디렉터리를 마운트하는 경우 (버전 표의 플러그인 zip / 소스 태그) Compose 옆에 취약한 제품 트리를 바인딩하십시오. 127.0.0.1 외에는 아무것도 게시하지 마십시오.

참조

• CVE-2026-48356 · NVD

• CVE-2026-48356 · CVE.org

• helpx.adobe.com/security/products/magento/apsb26-73.html

• sansec.io/research/magento-polyshell

• www.cve.org/CVERecord?id=CVE-2026-48356

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

기록 (구조화됨)

# CVE-2026-48356 (PolyShell)

CWE: CWE-434
CVSS: Critical 9.3 (Adobe CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N). Sansec: unauthenticated REST upload.

## Description

Unauthenticated unrestricted file upload in Magento/Adobe Commerce guest-cart REST custom options. A GIF89a polyglot with a `.php` name bypasses `ImageContentValidator` and is written to `pub/media/custom_options/quote/`.

## Product

Magento Open Source 2.4.8-p5 (affected through 2.4.9 / 2.4.8-p5). Lab oracle is a witness filename in the REST body, not a shell.

라이선스

이 공개 패키지는 GNU Affero General Public License v3.0에 따라 라이선스됩니다. LICENSE를 참조하십시오.

면책 조항

이 패키지는 벤더, 사이트 소유자, 라이선스된 랩을 위한 것입니다. 스크립트는 127.0.0.1과 통신합니다. 소유하지 않은 시스템에 대해 사용하는 것은 Abraxas Labs에 의해 승인되지 않습니다. 보증 없음.

abraxaslabs.tech · github.com/abraxas · @abraxas_null