Adobe Commerce: esecuzione di codice da template engine (CVE-2026-75650)

Esecuzione di codice in Adobe Commerce senza interazione dell'utente, CVSS 10,0, presente nel catalogo KEV di CISA. Applicare la patch APSB26-146.

Il 7 settembre 2026 è stata pubblicata la scheda di CVE-2026-75650, una vulnerabilità di template injection in Adobe Commerce. Secondo il record, può portare a esecuzione di codice con i privilegi dell'utente corrente, senza interazione dell'utente. Il punteggio CVSS v3.1 è 10,0, con scope changed.

La vulnerabilità è nel catalogo KEV di CISA: è quindi tra quelle per cui esistono segnali di sfruttamento attivo. Adobe ha pubblicato la patch nel bollettino APSB26-146.

Applicare la patch APSB26-146 su tutte le installazioni di Adobe Commerce e Magento. Controllare anche le estensioni di terze parti che usano template, perché possono ereditare lo stesso problema.

In sintesi

Cosa: Vulnerabilità di template injection in Adobe Commerce che può portare a esecuzione di codice con i privilegi dell'utente corrente, senza interazione.
Gravità: CVSS v3.1 10,0 (critica), con scope changed, secondo il record Adobe su NVD.
Causa: Neutralizzazione insufficiente di elementi speciali in un template engine (CWE-1336).
Stato: Presente nel catalogo KEV di CISA, quindi segnalata come sfruttata attivamente.
Azione: Applicare la patch APSB26-146 da Adobe. Verificare anche le estensioni di terze parti che usano template.

Fonti: NVD, CVE-2026-75650 · Adobe, APSB26-146 · CISA, catalogo KEV

← Tutti gli articoli