🔴 CVE-2026-53787: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-53787 beschreibt eine kritische, unauthentifizierte Arbitrary File Upload-Schwachstelle in der Magento 2-Erweiterung „Amasty Order Attributes“ in Versionen vor 4.0.0. Die Vulnerabilität ermöglicht es unauthentifizierten Angreifern, beliebige Dateien in das Media-Verzeichnis des Shops hochzuladen, ohne dass eine Authentifizierung, Session-Validierung oder Warenkorb-Kontext erforderlich ist. Dadurch besteht ein erhebliches Risiko für Remote Code Execution (RCE) und weitere Sicherheitskompromittierungen.

Betroffene Systeme

Die Schwachstelle betrifft Magento 2-Installationen mit der Amasty Order Attributes-Erweiterung in allen Versionen vor 4.0.0. Das Ausmaß der Betroffenheit hängt von der Konfiguration des Web-Servers und der Berechtigungen des Media-Verzeichnisses ab.

Technische Details

Der Upload-Endpoint der Erweiterung validiert weder die Authentifizierung noch überprüft er Dateitypen ausreichend. Dies erlaubt das Hochladen von PHP-Dateien und anderen Dateitypen mit beliebigen Namen. Auf Servern, bei denen das Media-Verzeichnis PHP-Ausführung permits, können Angreifer direkt PHP-Code ausführen. Zusätzlich ermöglicht die Schwachstelle:

• Malware-Hosting durch beliebige Datei-Uploads
• Stored Cross-Site Scripting (XSS) via HTML/SVG-Uploads
• Path Traversal-Angriffe zum Schreiben von Dateien außerhalb des Media-Verzeichnisses

Empfohlene Massnahmen

Sofortmassnahmen:

• Amasty Order Attributes auf Version 4.0.0 oder aktueller aktualisieren
• Media-Verzeichnis auf PHP-Ausführungsschutz überprüfen (.htaccess oder Web-Server-Konfiguration)
• Logs auf verdächtige Upload-Aktivitäten analysieren
• Bereits vorhandene verdächtige Dateien im Media-Verzeichnis identifizieren und löschen

Langfristige Sicherung:

• Regelmässige Sicherheits-Updates für Magento und Erweiterungen durchführen
• Web Application Firewall (WAF) implementieren
• Datei-Upload-Endpunkte zusätzlich schützen

Bewertung

Mit einem CVSS-Score von 9.8 wird diese Vulnerabilität als kritisch eingestuft. Die fehlende Authentifizierung kombiniert mit der Möglichkeit zur Remote Code Execution stellt eine unmittelbare Bedrohung dar. Betroffene Systeme sollten unverzüglich gepatchet werden.

„`