CVE-2026-73679 in ImpressCMS
Zusammenfassung
von VulDB • 14.08.2026
ImpressCMS enthält eine Remote-Code-Ausführungs-Lücke (RCE) mit Authentifizierung im Custom-Tag-Modul, die es authentifizierten Administratoren ermöglicht, beliebigen PHP-Code auszuführen, indem ein bösartiger Payload in einem benutzerdefinierten Tag gespeichert wird, bei dem der PHP-Typ aktiviert ist. Die Anwendung decodiert HTML-codierte Inhalte über undoHtmlSpecialChars(), bevor sie diese an eval() in der Methode renderWithPhp() übergibt, wodurch die Sanitization durch HTML Purifier umgangen wird. Der Payload wird beim Laden jeder Frontend-Seite über das Preload-Event-System ausgelöst.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.