Aviso (do mapa do código-fonte)

Assinatura do filtro de template de e-mail do Magento str_replace; estilos do Email Preview; ArrayScanner::collectEntities include. Hotfix VULN-39341.

Entrada

• Método: POST
• Caminho: /graphql
• Roteador: GraphQL não autenticado. Cabeçalho Store registrado sem escape. SSTI no endereço de cobrança do carrinho de convidado contrabandeia bloco Preview. Recusa do Payflow renderiza e-mail e inclui caminho de log styles.first.
• Notas: CVE-2026-75650 não autenticado CWE-1336 Magento 2.4.8-p5. Testemunha: GHSA75650-WITNESS no corpo de handlePayflowProResponse. Não é eval. Não é um reverse shell.

Cadeia de chamadas

• POST /graphql Store: <?= "GHSA75650-WITNESS" ?> logs into var/log/system.log
• createEmptyCart + setGuestEmailOnCart + setBillingAddressOnCart with nested {{var}}/{{block Preview}}
• POST /graphql?text=ColumnSet&styles={first:../var/log/system.log,...}&type=2 handlePayflowProResponse declined
• Preview processes styles; ArrayScanner::collectEntities include()s the log

Pré-condições do lab

• Magento Open Source / Adobe Commerce 2.4.4-2.4.9 sem VULN-39341
• GraphQL storefront acessível

Testemunha

O corpo HTTP de handlePayflowProResponse contém GHSA75650-WITNESS do system.log incluído.

Não é sucesso

• payload eval/base64/system
• reverse shell
• VULN-39341 corrigido

Correção / remediação

Faça isto primeiro: Atualize o Magento Open Source para VULN-39341 / APSB26-146 ou mais recente.

Verifique após a atualização

• Execute novamente CVE-2026-75650-Abraxas-Labs.py contra a build corrigida: a testemunha mapeada não deve aparecer.
• Confirme o aviso do fornecedor / changeset na árvore implantada (ver referências).
• Uma assinatura de WAF é atraso, não uma correção.

Se você não puder atualizar imediatamente

• Desative ou isole o componente afetado.
• Procure pela condição de testemunha em produção (novos usuários privilegiados, arquivos inesperados, linhas injetadas — o que o mapa deste CVE nomear).

Reprodução (lab autorizado)

Alvo apenas http://127.0.0.1:8088 (ou o loopback que você vinculou). Não aponte este script para a internet.

Sucesso é a testemunha acima no corpo da resposta. Um HTML 200 genérico não é isso.

Imagens do lab

Stack de loopback usada para reprodução. Imagens oficiais, a menos que um Dockerfile nesta pasta faça build a partir do código-fonte.

• lab/docker-compose.yml
• lab/Dockerfile
• lab/run.sh
• lab/setup-magento.sh

Vincule a árvore do produto vulnerável ao lado do Compose se o YAML montar um diretório local (zip do plugin / tag de código-fonte da tabela de versões). Não publique nada exceto 127.0.0.1.

Referências

• CVE-2026-75650 · NVD

• CVE-2026-75650 · CVE.org

• helpx.adobe.com/security/products/magento/apsb26-146.html

• sansec.io/research/stylesmuggler-0day

• www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-75650

• www.cve.org/CVERecord?id=CVE-2026-75650

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estruturados)

Licença

Este pacote de divulgação é licenciado sob a GNU Affero General Public License v3.0. Ver LICENSE.

Isenção de responsabilidade

Este pacote é para o fornecedor, o proprietário do site e labs licenciados. O script se comunica com 127.0.0.1. Usá-lo contra sistemas que você não possui não é autorizado pela Abraxas Labs. Sem garantia.

abraxaslabs.tech · github.com/abraxas · @abraxas_null