CVE-2026-53787 : envoi de fichiers non authentifié dans Amasty Order Attributes
Publié le
Le 12 juin 2026, Amasty publie la version 4.0.0 de son extension Order Attributes pour Magento 2. Elle corrige CVE-2026-53787, un envoi de fichiers arbitraire non authentifié noté 9.8 sur 10. Sansec a bloqué la première tentative d’exploitation le jour même.
Corrigé par l’éditeur (Amasty Order Attributes 4.0.0, 12 juin 2026)
Que fait concrètement cette faille ?
L’extension expose un point d’envoi de fichiers destiné aux pièces jointes que le client ajoute pendant sa commande. Ce point ne vérifie ni l’identité de l’appelant, ni l’état de la session, ni le rattachement à un panier valide.
Résultat : n’importe qui peut déposer n’importe quel fichier, sous n’importe quel nom. Si le dossier média autorise l’exécution de PHP, l’envoi devient une exécution de code à distance. Sinon, il reste du XSS stocké via HTML ou SVG, de l’hébergement de maliciel, et de la traversée de chemin pour écrire hors du dossier prévu.
Comment s’est déroulée l’exploitation ?
Sansec bloque la première tentative le 12 juin 2026, quelques heures après la publication du correctif. Le scan de masse démarre le 14 juin.
Le 15 juin, plus de 12 000 tentatives d’exploitation avaient été bloquées, visant environ un quart de toutes les boutiques Magento. Trois jours entre la publication d’un correctif et une campagne industrialisée.
Pourquoi mes extensions sont-elles ma vraie surface d’attaque ?
Le cœur de Magento n’est pas le seul point d’entrée. Une boutique moyenne embarque des dizaines d’extensions tierces, chacune avec son propre cycle de correctifs, sa propre qualité de code et sa propre équipe, parfois réduite à une personne.
Vous ne contrôlez ni le calendrier de ces éditeurs, ni le délai entre la découverte et le correctif. Ce que vous pouvez contrôler, c’est ce qui atteint votre application.
Que dois-je faire maintenant ?
Passez Amasty Order Attributes en 4.0.0 ou version ultérieure. Auditez ensuite le dossier média : un fichier déposé avant la mise à jour reste en place après.
Vérifiez que votre serveur web n’exécute pas de PHP depuis les dossiers d’envoi. C’est la barrière qui transforme une faille critique en simple nuisance.
Qui est concerné ?
- Amasty Order Attributes pour Magento 2, versions ≤ 3.16.0
- Corrigé dans la version 4.0.0, publiée le 12 juin 2026
- CVSS : 9.8 (critique). Envoi non authentifié, exécution de code possible
- Plus de 12 000 tentatives bloquées au 15 juin 2026
Comment AtriShield bloque-t-il la faille ?
Patch virtuel (Business et Enterprise) : la faille est neutralisée à l’entrée de votre serveur, sans modifier votre application et sans attendre la fenêtre de maintenance. Des métadonnées de sécurité remontent à votre console.
- ✓Patch virtuel sur le point d’envoi : les requêtes non authentifiées vers l’endpoint d’upload sont refusées avant Magento.
- ✓Les fichiers polyglottes et les extensions exécutables sont écartés avant d’atteindre le disque.
- ✓La protection couvre les extensions tierces, pas seulement le cœur Magento.
- ✓Utile aussi quand la montée de version de l’extension casse un flux métier et doit d’abord être testée.
Sources
Analyse publiée par Atrilya Solutions à partir de publications de sécurité publiques. Les liens ci-dessus renvoient aux sources d’origine.