CVE-2026-29001 in TastyIgniter
Zusammenfassung
von VulDB • 21.10.2026
TastyIgniter fino alla versione 4.4.5 presenta una vulnerabilità di iniezione di oggetti PHP che consente agli amministratori autenticati di ottenere l'esecuzione arbitraria del codice inviando un oggetto PHP serializzato come valore delle impostazioni, il quale viene memorizzato senza sanitizzazione e successivamente deserializzato da getValueAttribute() quando le impostazioni vengono lette. Gli attaccanti possono inviare una catena di gadget serializzati, ad esempio uno generato tramite phpggc, attraverso il modulo delle impostazioni amministrative (ad esempio l'impostazione maintenance_message caricata da CheckMaintenance.php) per ottenere l'esecuzione arbitraria dei comandi del sistema operativo come utente del processo dell'applicazione PHP, con un impatto che persiste fino a quando il valore non viene sovrascritto.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.