В Magento нашли вторую критическую ошибку шаблонов за 6 недель
Критическая уязвимость BlockStrap затрагивает Magento Open Source и Adobe Commerce. Специалисты Sansec пока не обнаружили атак на действующие магазины, но за сутки после выхода исправления смогли воспроизвести четыре способа эксплуатации.
Уязвимость получила название BlockStrap и идентификатор CVE-2026-103849. Adobe выпустила исправление 13 октября в бюллетене APSB26-153. Проблема затрагивает Adobe Commerce и Magento Open Source до версии 2.4.9 включительно, а также Adobe Commerce B2B до версии 1.5.3 включительно. Её оценка по шкале CVSS — 10 баллов из 10.
Ошибка связана с обработкой шаблонов электронных писем. Данные, которыми управляет атакующий, могут попасть во вложенный шаблон, а затем повторно пройти обработку на верхнем уровне. В результате внедрённая директива {{block}} выполняется при формировании содержимого письма. В октябрьском исправлении Adobe заменила повторную обработку механизмом зарегистрированных заполнителей.
Sansec советует владельцам магазинов установить октябрьский выпуск с исправлениями либо отдельный патч Adobe. Обычная установка через Composer может оставить уязвимую базовую версию. После обновления исследователи рекомендуют проверить, что исправление попало в код: некоторые инструменты установки патчей могут пропустить часть изменений, не остановив сборку.
Уязвимость BlockStrap и патч StyleSmuggler
За шесть недель до BlockStrap в том же механизме шаблонов обнаружили другую критическую уязвимость — StyleSmuggler. Adobe выпустила для неё срочное исправление VULN-39341 7 сентября. Оно добавило подписи для доверенных директив, но не закрыло путь, при котором данные из вложенного шаблона получают подпись и обрабатываются повторно. Этот путь использует BlockStrap.
Исправления для двух ошибок независимы. Октябрьский патч не включает сентябрьский VULN-39341, поэтому установить нужно оба; Sansec рекомендует сначала применить сентябрьское исправление. Для Magento Open Source Adobe опубликовала октябрьские патчи для версий 2.4.7-p10, 2.4.8-p5 и 2.4.9. Владельцам магазинов на Open Source 2.4.6 и более ранних версиях потребуется перейти как минимум на 2.4.7-p10.
Уязвимость затрагивает и Mage-OS до версии 3.5.0 включительно. В выпуск 3.6.0 от 14 октября исправление уже вошло. По данным Sansec, для обновления Mage-OS нужно обновить метапакет mage-os/product-community-edition: изменения касаются фреймворка и четырёх модулей.
Adobe присвоила BlockStrap приоритет 2, который предполагает установку патча в течение 30 дней. По сообщению Sansec, в сообществе Magento компания объяснила оценку отсутствием известных атак: приоритет 1 она оставляет для уязвимостей, которые уже эксплуатируют. Исследователи считают, что ждать опасно. За 24 часа они воспроизвели четыре способа запуска кода. По их данным, эксплуатация StyleSmuggler стала массовой через три дня после выпуска сентябрьского исправления.
7 сентября мы сообщали об активной эксплуатации StyleSmuggler в Magento и Adobe Commerce: тогда Adobe ещё готовила патч.
