BlockStrap в Magento: CVSS 10.0, но приоритет 2 и 30 дней на патч

Sansec оспаривает решение Adobe присвоить уязвимости CVE-2026-103849 в Magento приоритет 2 вместо 1, несмотря на CVSS 10.0. Исследователи воспроизвели четыре пути к выполнению кода за 24 часа после патча; Adobe ставит приоритет 1 только при известной эксплуатации.

• CVE-2026-103849 получила CVSS 10.0 и CWE-1336, но приоритет 2 с окном 30 дней
• Sansec нашла четыре пути к RCE в течение 24 часов после выхода патча
• Уязвимы Adobe Commerce до 2.4.9-2026-sep и Mage-OS до 3.5.0
• Для Open Source на 2.4.4–2.4.6 публичных патчей Adobe нет