Deserialización insegura en el plugin Magento 2 de TrueLayer
INCIBE-CERT avisos · 6 oct, 10:31
TrueLayer ha publicado un parche para una vulnerabilidad de deserialización insegura en su plugin Magento 2 (versiones 2.4.0 a 2.4.2). El fallo permite la ejecución remota de código si un atacante tiene acceso previo para escribir en el backend de caché de la aplicación. La vulnerabilidad ha sido corregida en la versión 2.4.3, disponible desde el 3 de agosto de 2026.
La vulnerabilidad CVE-2026-103831 reside en el componente Psr16CacheAdapter del plugin, que utiliza la función nativa PHP unserialize() sin restricciones sobre las clases permitidas al recuperar datos del caché. Un atacante con capacidad previa para escribir en la infraestructura de caché (como Redis o Memcached) puede introducir objetos PHP especialmente construidos, provocando su deserialización e inyección de gadgets que permiten la ejecución arbitraria de código.
La corrección implementada por TrueLayer elimina el uso de unserialize() y adopta un mecanismo de serialización basado en JSON, alineándose con las prácticas de seguridad del núcleo de Magento 2. La explotación requiere una condición previa: acceso de escritura a la infraestructura de caché, ya sea a través del sistema de archivos local o desde el entorno de Magento.
Puntos clave
- Afecta a TrueLayer Magento 2 Plugin versiones 2.4.0 a 2.4.2
- Actualizar a versión 2.4.3 o posterior
- Severidad CVSS 7.5, requiere acceso previo al caché
- Cambio de unserialize() a serialización JSON en la corrección
- Asegurar que la infraestructura de caché no permita escrituras no autorizadas