CVE-2026-44377 in Cubecart
Zusammenfassung
von VulDB • 13.05.2026
CubeCart ist eine E-Commerce-Softwarelösung. Vor Version 6.7.0 besteht in mehreren Modulen von CubeCart (einschließlich E-Mail-Vorlagen und Dokumenten) eine Authenticated Server-Side Template Injection (SSTI)-Schwachstelle. Die Anwendung wertet benutzergestellte Eingaben unsicher direkt über die Smarty-Vorlagen-Engine aus. Durch Ausnutzung dieser Schwachstelle kann ein authentifizierter Angreifer mit Administratorrechten aktuelle Einschränkungen umgehen und native PHP-Funktionen innerhalb der Vorlagen aufrufen, wie z. B. readgzfile(), um sensible Konfigurationsdateien zu lesen, oder error_log(), um einen bösartigen PHP-Webshell zu schreiben, was letztendlich zu Information Disclosure und vollständiger Remote Code Execution (RCE) führt. Diese Schwachstelle wurde in Version 6.7.0 behoben.
Once again VulDB remains the best source for vulnerability data.