آسیب‌پذیری مگنتو BlockStrap اجرای کد روی سرورها را ممکن می‌کند
آسیب‌پذیری مگنتو با نام BlockStrap می‌تواند به مهاجمان اجازه اجرای کد PHP دلخواه روی سرور فروشگاه‌های Magento و Adobe Commerce را بدهد.
آسیب‌پذیری مگنتو با شناسه CVE-2026-103849 و نام BlockStrap می‌تواند راه اجرای کد PHP دلخواه را روی سرور فروشگاه‌های Magento و Adobe Commerce باز کند. پژوهشگران می‌گویند هنوز حمله‌ای با سوءاستفاده از این نقص دیده نشده، اما احتمال پیدا شدن روش بهره‌برداری توسط مهاجمان بالاست.
شرکت امنیت تجارت الکترونیک Sansec در کمتر از ۲۴ ساعت چهار مسیر حمله احتمالی برای این نقص با حداکثر شدت شناسایی کرده است. آسیب‌پذیری، نسخه‌های سپتامبر Adobe Commerce و Magento Open Source تا ۲.۴.۹ و همچنین Adobe Commerce B2B تا ۱.۵.۳ را تحت تأثیر قرار می‌دهد.
BlockStrap به موتور قالب ایمیل مربوط است و به‌گفته Sansec، امکان می‌دهد محتوای کنترل‌شده توسط مهاجم در یک قالب ایمیل فرزند، دوباره در سطح اصلی پردازش شود. در نتیجه، دستور پنهان‌شده {{block}} اجرا می‌شود. این نقص شکافی باقی‌مانده از اصلاح آسیب‌پذیری StyleSmuggler است.
Sansec رتبه «اولویت ۲» ادوبی برای وصله‌کردن در ۳۰ روز را متناسب با فوریت خطر نمی‌داند و هشدار می‌دهد ابزارهای هوش مصنوعی می‌توانند مهندسی معکوس وصله را سریع‌تر کنند. مدیران فروشگاه‌ها باید انتشار اکتبر ۲۰۲۶ یا وصله مستقل ادوبی را اعمال کنند؛ نصب ساده Composer کافی نیست و هات‌فیکس سپتامبر VULN-39341 نیز باید حفظ شود.
منبع: BleepingComputer
پروژه‌ای در این زمینه دارید؟
مشاوره‌ی اولیه و برآورد هزینه رایگان است.
