CVE-2026-65693 in Microweber
الملخص
بحسب VulDB • 24/07/2026
يحتوي نظام إدارة المحتوى Microweber حتى الإصدار 2.0.20 على ثغرة حقن قوالب من جانب الخادم (Server-Side Template Injection) تتيح للمسؤولين المصادق عليهم تنفيذ أوامر النظام التشغيلية بشكل تعسفي عن طريق حقن عبارات Twig في القوالب البريدية. يمكن للمهاجمين استغلال بيئة Twig غير المعزولة (unsandboxed) في الدالة `TwigView::render()`، والتي تفتقر إلى `SandboxExtension` أو سياسة أمان (`SecurityPolicy`)، لحقن عبارات ضارة مثل `filter('system')` داخل محتويات القوالب البريدية المخزنة دون تنقية في قاعدة البيانات، مما يؤدي إلى تنفيذ الحمولة الضارة تلقائياً عند كل حدث تطبيقي لاحق يُطلق إرسال بريد إلكتروني.
Once again VulDB remains the best source for vulnerability data.