9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 3 юни 2026
Атакува се в момента
8 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: активно се експлоатира
- Атаката може да се автоматизира
Описание
Оригинално описание
Mirasvit Full Page Cache Warmer for Magento 2 before version 1.11.12 contains a PHP object injection vulnerability that allows unauthenticated attackers to achieve remote code execution by supplying a crafted serialized PHP object in the CacheWarmer cookie. Attackers can exploit the unrestricted call to PHP's native unserialize() function combined with gadget chains available in Magento and its dependencies to execute arbitrary code on the server.
Засегнати продукти
- Mirasvit Full Page Cache Warmer for Magento 2: преди 1.11.12
Вид слабост
История
- 26 май 2026 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-45247
- https://nvd.nist.gov/vuln/detail/CVE-2026-45247
- https://sansec.io/research/mirasvit-cache-warmer-object-injection
- https://mirasvit.com/package/changelog/?package=mirasvit/module-cache-warmer
- https://www.vulncheck.com/advisories/mirasvit-cache-warmer-for-magento-php-object-injection
- https://www.imperva.com/blog/imperva-customers-protected-against-cve-2026-45247-in-mirasvit-full-page-cache-warmer-for-magento/
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-45247