Wysoki Odebrany

CVE-2026-103831

opublikowano: 06.10.2026, 13:17

modyfikacja: 06.10.2026, 17:18

Ocena CVSS

7.5

Wysoki · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:L/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

CVE-2026-103831: Luka w zabezpieczeniach związana z niebezpieczną deserializacją w komponencie Psr16CacheAdapter wtyczki TrueLayer Magento 2, wynikająca z użycia natywnej funkcji PHP unserialize() bez ograniczeń dotyczących klas dozwolonych podczas pobierania danych przechowywanych w pamięci podręcznej. Osoba atakująca, która ma już możliwość zapisywania zmanipulowanych danych w pamięci podręcznej używanej przez Magento – takiej jak Redis lub Memcached – może wstrzyknąć specjalnie spreparowane obiekty PHP i wywołać ich deserializację, co potencjalnie może prowadzić do wykonania dowolnego kodu za pośrednictwem ciągów gadżetów dostępnych w środowisku aplikacji. Eksploatacja wymaga zatem spełnienia warunku wstępnego, który umożliwia zapis w infrastrukturze pamięci podręcznej, albo poprzez dostęp do lokalnego systemu plików, albo do infrastruktury pamięci podręcznej dostępnej ze środowiska Magento.

>_ Słabości (CWE)

CWE-502

>_ Referencje

https://www.incibe.es/en/incibe-cert/notices/aviso/insecure-deserialization-truelayer-magento-2-plugin

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve