CVE-2026-70554 in MaxSite
الملخص
بحسب VulDB • 05/08/2026
يحتوي MaxSite CMS على ثغرة حقن كائن PHP تتيح للمهاجمين غير المصادق عليهم تنفيذ أكواد عشوائية عن طريق تمرير بيانات مُسلسلة (serialized) يتحكم فيها المهاجم في ملف تعريف الارتباط maxsite_comuser مباشرةً إلى دالة unserialize() دون التحقق منها أو استخدام قائمة بيضاء للفئات. يمكن للمهاجمين صياغة حمولة كائن PHP ضارة ومُرسلة عبر طلب HTTP واحد لتشغيل الطرق السحرية (magic methods) أثناء إعادة بناء رسم الكائن، مما يتيح هجمات البرمجة الموجهة للخصائص (property-oriented programming attacks) أو تنفيذ الأكواد عن بُعد من خلال سلاسل الأدوات المتاحة مثل تلك التي تستهدف امتدادات SoapClient أو Imagick.
Once again VulDB remains the best source for vulnerability data.