Qué es y cómo funciona
La vulnerabilidad CVE-2026-128049 es una falsificación de solicitud entre sitios (CSRF) en las acciones de confirmación OAuth del panel de administración y la tienda de OpenMage Magento LTS. Las acciones afectadas aceptan solicitudes GET sin validar la clave de formulario (form-key). Un atacante que posea credenciales de consumidor OAuth puede engañar a un administrador o cliente con sesión iniciada para que visite una URL manipulada. Esto autoriza el token de solicitud del atacante, el cual luego puede ser intercambiado en /oauth/token por un token de acceso persistente para la API REST, vinculado a la víctima.
Productos y versiones afectadas
Están afectadas las versiones de OpenMage Magento LTS anteriores a la 20.18.2, y la rama beta 21.0.0-beta1 anterior a la 21.0.0-beta3.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 9.0 (crítica). Según el modelo EPSS, la probabilidad de explotación en los próximos 30 días es del 0.2% (percentil 13%), lo que sugiere un riesgo de explotación real bajo pero presente. Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada. La técnica MITRE ATT&CK asociada es T1189 – Drive-by Compromise.
Qué hacer
Se recomienda a los administradores de sitios que utilizan OpenMage Magento LTS actualizar inmediatamente a la versión 20.18.2 o superior, o a la 21.0.0-beta3 en el caso de la rama beta.
| CVE | CVE-2026-128049 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.0 / 10 |
| EPSS | 0.2% en 30 días (percentil 13) |
| CWE | CWE-352 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.