· CVE-2026-48356

Adobe Commerce / Magento Unbeschränkter Datei-Upload

9,3 CVSS · kritischAktiv ausgenutzt

Unbeschränkter Datei-Upload in Adobe Commerce / Magento. Über das Netzwerk angreifbar, ohne Anmeldung, ein Nutzer muss mitwirken. CVSS 9,3 (kritisch). Laut CISA wird die Lücke bereits ausgenutzt. Die behobenen Versionen nennt der Hersteller in seinem Bericht.

Sicherheitshinweis des Herstellers

helpx.adobe.com · Maßgeblich sind die Angaben des Herstellers.

Auf einen Blick

CVE
CVE-2026-48356
Produkt
Adobe Commerce / Magento
Hersteller
Adobe
Betroffene Versionen
  • ≤ 2.4.9
  • ≤ 2.4.8-p5
  • ≤ 2.4.7-p10
  • ≤ 2.4.6-p15
  • ≤ 2.4.5-p17
  • ≤ 2.4.4-p18
laut Hersteller bzw. CVE-Herausgeber
Behoben in
siehe Bericht des Herstellers
CVSS
9,3 (kritisch)
CVSS 3.1, bewertet von der NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N
Aktiv ausgenutzt
Ja, laut CISA (im KEV-Katalog seit 27. Oktober 2026)
Schwachstellentyp
CWE-434 (Unbeschränkter Datei-Upload)
Veröffentlicht
Zuletzt geändert

Was zu tun ist

  1. Die behobenen Versionen stehen im Bericht des Herstellers. Dort auf die passende Version für Ihren Versionszweig aktualisieren.
  2. Den Bericht des Herstellers lesen: Er nennt die genauen Versionen und, falls vorhanden, Workarounds für den Fall, dass ein Update nicht sofort möglich ist.
  3. Weil die Lücke bereits ausgenutzt wird: nach dem Update prüfen, ob das System vorher kompromittiert wurde.
  4. Auch Test-, Staging- und vergessene Installationen derselben Software prüfen.
Sicherheitshinweis des Herstellers ↗

Originalbeschreibung

Englisch, aus dem CVE-Eintrag. Die Zusammenfassung oben ist aus den strukturierten Daten erstellt.

Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.

Bezeichnung bei CISA: Adobe Commerce and Magento Unrestricted Upload of File with Dangerous Type Vulnerability

Offizielle Referenzen

Quellen

Daten aus der NVD (NIST) und dem KEV-Katalog der CISA, abgerufen am 1. November 2026. Diese Seite nutzt Daten der NVD-API, ist aber weder von der NVD gebilligt noch zertifiziert. Alle Angaben ohne Gewähr.

Eintrag in der NVD ↗Eintrag bei CVE.org ↗KEV-Katalog der CISA ↗

Welche Software-Versionen gibt Ihre Website nach außen preis? Der kostenlose Security-Check prüft es.

Kostenlos prüfen