Adobe Commerce / Magento CVE-2026-71362 روی KEV؛ سوییچ نشست بدون تعامل کاربر

همان آلرت ۲۴ سپتامبر CISA که WSO2 را به KEV برد، CVE-2026-71362 را هم برای Adobe Commerce و Magento Open Source ثبت کرد. امتیاز ۹٫۱ است و کلاس باگ incorrect authorization: مهاجم بدون تعامل کاربر می‌تواند به دسترسی بالاتر برسد یا session مشتری را عوض کند. برای فروشگاهی که سبد خرید و حساب کاربری روی همان origin است، «سوییچ نشست» یعنی دسترسی به سفارش و دادهٔ نفر دیگر، نه یک باگ انتزاعی ACL.

Sansec تلاش‌های exploitation را دیده است. مهلت remediation اعلام‌شده برای دستگاه‌های فدرال حدود ۲۷ سپتامبر ۲۰۲۶ بود — یعنی اگر هنوز پچ August ۲۰۲۶ از خط APSB26-92 را نزده‌اید، از پنجرهٔ رسمی عبور کرده‌اید.

این پست را با StyleSmuggler یا CVEهای قدیمی‌تر Magento قاطی نکنید؛ شناسه و مسیر KEV مال همین incorrect-authorization است. Commerce / Magento را به آخرین security patch اوت ۲۰۲۶ برسانید، نشست‌های فعال مشکوک را باطل کنید، و لاگ authentication / customer account را برای سوییچ غیرعادی از همان بازه مرور کنید.