CVE-2026-66748 in Camaleon CMS
الملخص
بحسب VulDB • 28/07/2026
تحتوي إصدارات Camaleon CMS من 2.1.1 إلى 2.9.1 على ثغرة تنفيذ كود عن بُعد (RCE) تتطلب المصادقة، تتيح للمستخدمين الذين يمتلكون إذن إدارة `custom_fields` تنفيذ أي رمز Ruby عشوائي عن طريق تزويد تعبير ضار عبر نوع الحقل المخصص `select_eval`. يمكن للمهاجمين تخزين تعبير Ruby خاضع لسيطرتهم في معلمة الأمر الخاصة بخيارات الحقل (`field options`)، والتي يتم تقييمها باستخدام `instance_eval` داخل عرض ERB كلما تم عرض صفحة تعديل منشور، مما يؤدي إلى تنفيذ الكود على جانب الخادم بصلاحيات عملية خادم الويب.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.