Aktywnie wykorzystywana w atakach
Mirasvit Full Page Cache Warmer Deserialization of Untrusted Data Vulnerability
Mirasvit - Mirasvit Full Page Cache Warmer · Figuruje w katalogu CISA KEV od 2026-06-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
CVE-2026-45247
KrytyczneCVSS 9.8KEVPrawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
Wtyczka Mirasvit Full Page Cache Warmer dla Magento 2 przed wersją 1.11.12 zawiera podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu poprzez dostarczenie spreparowanego, serializowanego obiektu PHP w ciasteczku CacheWarmer. Atak wykorzystuje nieograniczone wywołanie natywnej funkcji unserialize() oraz łańcuchy gadżetów dostępne w Magento.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze Magento bez uwierzytelnienia, co może prowadzić do całkowitego przejęcia sklepu internetowego i kradzieży danych klientów.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Mirasvit Full Page Cache Warmer do wersji 1.11.12 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Mirasvit Full Page Cache Warmer for Magento 2 before version 1.11.12 contains a PHP object injection vulnerability that allows unauthenticated attackers to achieve remote code execution by supplying a crafted serialized PHP object in the CacheWarmer cookie. Attackers can exploit the unrestricted call to PHP's native unserialize() function combined with gadget chains available in Magento and its dependencies to execute arbitrary code on the server.