CVE-2026-45247

La extensión Full Page Cache Warmer de Mirasvit para Magento 2 pasa entradas controladas por el atacante directamente a la función `unserialize()` de PHP. Un atacante no autenticado coloca un objeto PHP serializado y manipulado en la cookie CacheWarmer y, cuando la extensión lo deserializa, la inyección de objetos dispara una cadena de gadgets construida a partir de clases ya presentes en Magento y sus dependencias. Esa cadena lleva a la aplicación a ejecutar código arbitrario en el servidor: una escalada clásica de inyección de objetos PHP desde una solicitud no autenticada hasta una RCE total.

Magento ejecuta tiendas de comercio electrónico, así que un servidor comprometido expone datos de clientes y flujos de pago y es un objetivo de primer nivel para el skimming y el código de captura de tarjetas inyectado en el checkout: el patrón Magecart que ha aquejado a la plataforma durante años. Las extensiones de terceros son un punto débil recurrente precisamente porque amplían la superficie de ataque más allá del núcleo de Magento, y una RCE preautenticación disparada por cookie necesita una sola solicitud. Actualice Full Page Cache Warmer a 1.11.12 o posterior y, como el compromiso de la tienda a menudo se manifiesta como skimmers del lado del cliente inyectados, revise la tienda en busca de código no autorizado, usuarios administradores inesperados y plantillas de checkout modificadas además de aplicar el parche.