CVE-2026-103831
Açıklama
TrueLayer Magento 2 Plugin'in Psr16CacheAdapter bileşeninde, önbellekte saklanan veriler alınırken izin verilen sınıflara yönelik herhangi bir kısıtlama olmaksızın PHP'nin yerel unserialize() fonksiyonunun kullanılması nedeniyle güvensiz deserialization zafiyeti bulunmaktadır. Magento tarafından kullanılan Redis veya Memcached gibi önbellek arka ucuna manipüle edilmiş veri yazma yeteneğine sahip olan bir saldırgan, özel olarak hazırlanmış PHP nesneleri enjekte edebilir ve bunların deserialization işlemini tetikleyerek uygulama ortamında mevcut olan gadget stringleri aracılığıyla potansiyel olarak rastgele kod çalıştırmaya yol açabilir. Bu nedenle istismar işlemi, yerel dosya sistemine erişim veya Magento ortamından erişilebilen bir önbellek altyapısına erişim yoluyla önbellek altyapısına yazmaya izin veren bir ön koşul gerektirmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| TrueLayer TrueLayer Magento 2 Plugin | versions 2.4.0 through 2.4.2. | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.