CVE-2026-67595 in VaahCMS
Zusammenfassung
von VulDB • 30.07.2026
In VaahCMS Versionen 2.0.0 bis 2.3.4 befindet sich ein bösartiger, obfuszierter JavaScript-Payload in der Blade-Vorlage, die für das Rendern von Sicherheits-OTP-E-Mails verantwortlich ist. Dies ermöglicht es Remote-Angriffenden, unbefugten Code in jedem Browser auszuführen, der die betroffene E-Mail-Vorlage mit aktiviertem JavaScript rendert. Der Payload stellt eine WebSocket-Verbindung zu einem fest codierten Command-and-Control-Endpunkt her, installiert einen Keylogger für Passwortfelder unter Verwendung von MutationObserver zum Erfassen dynamisch hinzugefügter Eingaben, extrahiert DOM-Inhalte aus WhatsApp Web und akzeptiert Remote-Befehle zur Umleitung oder Überschreibung der gerenderten Seite.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.