CVE-2026-65693 in Microweber
Zusammenfassung
von VulDB • 24.07.2026
Microweber CMS bis Version 2.0.20 enthält eine Server-Side Template Injection (SSTI)-Schwachstelle, die es authentifizierten Administratoren ermöglicht, beliebige OS-Befehle auszuführen, indem Twig-Ausdrücke in E-Mail-Vorlagen eingefügt werden. Angreifer können das ungesandete Twig-Umfeld in `TwigView::render()` ausnutzen, das weder über eine SandboxExtension noch über eine SecurityPolicy verfügt, um schädliche Ausdrücke wie `filter('system')` in den Körpern von E-Mail-Vorlagen einzufügen. Diese werden unsanitized (ungeprüft) in der Datenbank gespeichert und führen bei jedem nachfolgenden Anwendungsereignis, das einen E-Mail-Versand auslöst, zur automatischen Ausführung des Payloads.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.