CVE-2026-45247
Kritik CISA KEV: Aktif İstismarTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 27.5%
- CWE
- CWE-502
- KEV Durumu
- Evet
Yayım tarihi: 26 Mayıs 2026 · CISA KEV son iyileştirme tarihi: 6 Haziran 2026
Etkilenen: mirasvit full_page_cache_warmer
Mirasvit Full Page Cache Warmer için Magento 2, 1.11.12 sürümünden önceki sürümler, seri hale getirilmiş bir PHP nesnesini CacheWarmer çerezinde sağlayarak uzaktan kod çalıştırmasına izin veren bir PHP nesne enjeksiyon zafiyeti içerir. Saldırganlar, PHP'nin yerel unserialize() işlevine yapılan kısıtlamasız çağrı ile Magento ve bağımlılıklarında bulunan gadget zincirlerini birleştirerek sunucuda keyfi kodu çalıştırabilir.
Orijinal açıklama (İngilizce)
Mirasvit Full Page Cache Warmer for Magento 2 before version 1.11.12 contains a PHP object injection vulnerability that allows unauthenticated attackers to achieve remote code execution by supplying a crafted serialized PHP object in the CacheWarmer cookie. Attackers can exploit the unrestricted call to PHP's native unserialize() function combined with gadget chains available in Magento and its dependencies to execute arbitrary code on the server.
Referanslar
- https://mirasvit.com/package/changelog/?package=mirasvit/module-cache-warmer
- https://sansec.io/research/mirasvit-cache-warmer-object-injection
- https://www.vulncheck.com/advisories/mirasvit-cache-warmer-for-magento-php-object-injection
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-45247
- https://www.imperva.com/blog/imperva-customers-protected-against-cve-2026-45247-in-mirasvit-full-page-cache-warmer-for-magento/
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.