· CVE-2026-48356

Adobe Commerce / Magento Téléversement de fichiers non restreint

9,3 CVSS · critiqueExploitée

Téléversement de fichiers non restreint dans Adobe Commerce / Magento. Exploitable à distance par le réseau, sans authentification, un utilisateur doit intervenir. CVSS 9,3 (gravité critique). Selon la CISA, elle est déjà exploitée. L’éditeur indique les versions corrigées dans son avis.

Avis de sécurité de l’éditeur

helpx.adobe.com · Les informations de l’éditeur font foi.

En bref

CVE
CVE-2026-48356
Produit
Adobe Commerce / Magento
Éditeur
Adobe
Versions concernées
  • ≤ 2.4.9
  • ≤ 2.4.8-p5
  • ≤ 2.4.7-p10
  • ≤ 2.4.6-p15
  • ≤ 2.4.5-p17
  • ≤ 2.4.4-p18
selon l’éditeur ou l’émetteur de la CVE
Corrigé dans
voir l’avis de l’éditeur
CVSS
9,3 (critique)
CVSS 3.1, évalué par la NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
Exploitée
Oui, selon la CISA (dans le catalogue KEV depuis le 27 octobre 2026)
Type de faille
CWE-434 (Téléversement de fichiers non restreint)
Publiée le
Modifiée le

Que faire ?

  1. Les versions corrigées figurent dans l’avis de l’éditeur. Mettre à jour vers la version adaptée à votre branche.
  2. Lire l’avis de l’éditeur : il précise les versions exactes et, le cas échéant, des contournements si la mise à jour ne peut pas être faite tout de suite.
  3. La faille étant déjà exploitée : après la mise à jour, vérifier que le système n’a pas été compromis auparavant.
  4. Vérifier aussi les installations de test, de préproduction et celles oubliées du même logiciel.
Avis de sécurité de l’éditeur ↗

Description originale

En anglais, issue de la fiche CVE. Le résumé ci-dessus est établi à partir des données structurées.

Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.

Intitulé à la CISA : Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability

Références officielles

Sources

Données de la NVD (NIST) et du catalogue KEV de la CISA, récupérées le 1er novembre 2026. Ce site utilise des données de l’API de la NVD sans être approuvé ni certifié par la NVD. Informations fournies sans garantie.

Fiche NVD ↗Fiche CVE.org ↗Catalogue KEV de la CISA ↗

Quelles versions de logiciels votre site laisse-t-il voir ? Le test de sécurité gratuit le vérifie.

Tester gratuitement