CVE-2026-53787 - Amasty Order Attributes 未认证文件上传

描述

CVE-2026-53787 是 Amasty Order Attributes 扩展中一个严重的未认证任意文件上传漏洞，影响 Magento 2 早于 4.0.0 的版本。该漏洞允许攻击者将任意类型或名称的文件上传到商店的媒体目录，而无需身份验证、会话验证或购物车上下文。

影响

该攻击无需凭据，可通过网络执行。该漏洞的 CVSS 评分为 9.8（严重）。成功利用可能导致：

• 如果媒体目录允许执行 PHP，则可实现远程代码执行（RCE），使攻击者完全控制服务器
• 利用受信任域名托管恶意软件
• 通过上传 HTML 或 SVG 实现存储型跨站脚本（XSS）
• 路径遍历攻击，将文件写入预期上传目录之外

受影响端点

该漏洞影响以下 REST 端点：

POST /rest/V1/amasty_orderattr/uploadFile
POST /rest/all/V1/amasty_orderattr/uploadFile
POST /rest/default/V1/amasty_orderattr/uploadFile

利用活动

补丁于 2026 年 6 月 12 日发布后数小时，大规模利用即开始。截至 6 月 15 日，已检测到超过 12,000 次针对 25% Magento 商店的利用尝试。

修复措施

• 将 Amasty Order Attributes 升级到 4.0.0 或更高版本
• 配置 Web 服务器以禁用媒体目录中的 PHP 执行
• 实施严格的文件上传验证和扩展名白名单