Données publiées par NVD. La traduction française est automatique : le texte anglais fait foi.
Adobe Commerce est affecté par un chargement non restreint de fichier avec une vulnérabilité de type dangereux qui pourrait entraîner l'exécution arbitraire de code dans le contexte de l'utilisateur actuel, potentiellement obtenir un accès ou un contrôle élevé sur le compte ou la session de la victime. L'exploitation de ce problème nécessite une interaction utilisateur en ce sens qu'une victime doit visiter une URL malicieusement conçue ou interagir avec une page Web compromise. La portée est modifiée.
Texte officiel (anglais)
Adobe Commerce is affected by an Unrestricted Upload of File with Dangerous Type vulnerability that could result in arbitrary code execution in the context of the current user, potentially gaining elevated access or control over the victim's account or session. Exploitation of this issue requires user interaction in that a victim must visit a maliciously crafted URL or interact with a compromised web page. Scope is changed.
Explication générée à partir des données officielles, sans test de notre part. Elle peut simplifier ou se tromper.
Type d’erreur : Envoi de fichier dangereux
Le logiciel accepte un fichier piégé, qui peut ensuite être exécuté.
Comment elle s’exploite
Un attaquant peut l’exploiter à distance, par le réseau, sans aucun compte, à condition qu’une personne fasse une action, comme ouvrir un fichier ou cliquer sur un lien. L’attaque est simple à réaliser.
Ce qu’un attaquant pourrait faire
lire des données confidentielles
modifier des données ou le système
Mini glossaire
CVE
Numéro public unique attribué à une faille, pour que tout le monde parle de la même chose.
CVSS
Note de gravité de 0 à 10. Elle mesure la gravité théorique, pas le risque réel chez vous.
CWE
Catégorie du type d’erreur à l’origine de la faille.
KEV
Liste de l’agence américaine CISA recensant les failles réellement exploitées par des attaquants.
Correctif
Mise à jour publiée par l’éditeur pour supprimer la faille.
Atténuation
Mesure temporaire qui réduit le risque quand le correctif n’est pas encore appliqué.
Le CISA a ajouté deux nouvelles vulnérabilités à son catalogue de vulnérabilités Explicitées (KEV), en se fondant sur des preuves d'exploitation active. CVE-2026-48356 Adobe Commerce et Magento Téléchargement non restreint de fichier avec vulnérabilité de type dangereux CVE-2026-111497 Google Brotli Vulnérabilité de valeur de retour non contrôlée Ces types de vulnérabilités sont un vecteur d'attaque fréquent pour les cyberacteurs malveillants et les pos