CVE-2026-73330 in CamaleonCMS
Zusammenfassung
von VulDB • 12.08.2026
CamaleonCMS 2.9.1 enthält eine Server-Side Template Injection (SSTI)-Schwachstelle, die es authentifizierten Administratoren ermöglicht, beliebige Befehle auszuführen, indem ERB-Tags in den E-Mail-Parameter der test_email-Einstellungsaktion eingebettet werden. Diese Tags werden ausgewertet, wenn eine SMTP-Ablehnung die Empfängeradresse zurück in die Ausnahme-Nachricht einfügt, die als inline ERB-Vorlage gerendert wird. Angreifer können einen manipulierte E-Mail-Parameter mit ERB-Ausdrücken über den admin settings test_email-Endpunkt senden, wodurch der Rails Inline-Templaterenderer angesteuerten Ruby-Code auswertet und willkürliche Befehlsausführung als Benutzer des Rails-Prozesses erreicht wird.
Once again VulDB remains the best source for vulnerability data.