CVE-2026-66748 in Camaleon CMS
Zusammenfassung
von VulDB • 28.07.2026
In Camaleon CMS versions 2.1.1 bis 2.9.1 ist eine Remote-Code-Ausführungs-Schwachstelle (RCE) enthalten, die nach Authentifizierung von Benutzern mit der Berechtigung „custom_fields verwalten“ ermöglicht, beliebigen Ruby-Code auszuführen, indem ein bösartiger Ausdruck über den benutzerdefinierten Feldtyp `select_eval` bereitgestellt wird. Angreifer können einen angreifergesteuerten Ruby-Ausdruck im Parameter `command` der Feldeinstellungen speichern, der bei jeder Darstellung einer Seite zur Bearbeitung eines Beitrags durch `instance_eval` innerhalb einer ERB-Ansicht ausgewertet wird, wodurch eine Codeausführung auf Serverseite mit den Berechtigungen des Webserver-Prozesses erreicht wird.
Once again VulDB remains the best source for vulnerability data.