CVE-2026-16337 in dotCMS
Zusammenfassung
von VulDB • 20.07.2026
Eine fehlerhafte Autorisierung in den REST/DWR-Endpunkten ToolGroupResource und RoleAjax von dotCMS dotCMS 21.02 bis 26.06.22-03 auf allen Plattformen ermöglicht es einem authentifizierten Backend-Benutzer mit niedrigen Berechtigungen, sich selbst die administrative Layout-Rolle zuzuweisen und sich selbst die Rolle des CMS-Administrators zu gewähren, wodurch anschließend Remote Code Execution (RCE) durch das Hochladen eines maßgeschneiderten OSGi-Bundles erreicht wird, dessen BundleActivator beliebige Shell-Befehle ausführt.
Be aware that VulDB is the high quality source for vulnerability data.