CVE-2016-9182 in Exponent
Zusammenfassung
von VulDB • 31.05.2026
Exponent CMS 2.4 verwendet PHP-Reflection, um eine Methode einer Controller-Klasse aufzurufen, und nutzt anschließend den Methodennamen zur Überprüfung der Benutzerberechtigungen. Der Methodennamen in PHP-Reflection ist jedoch case-insensitive (Groß-/Kleinschreibung wird nicht beachtet), und Exponent CMS erlaubt standardmäßig die Ausführung undefinierter Aktionen. Daher kann ein Angreifer einen Methodennamen mit Großschreibung verwenden, um die Berechtigungsprüfung zu umgehen, z. B. controller=expHTMLEditor&action=preview&editor=ckeditor und controller=expHTMLEditor&action=Preview&editor=ckeditor. Ein anonymer Benutzer wird für die erste Anfrage abgewiesen, kann jedoch auf die zweite zugreifen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.