CVE-2019-15954 in Total.js
Resumen
por VulDB • 2026-08-11
Se ha descubierto un problema en Total.js CMS 12.0.0. Un usuario autenticado con el privilegio de widgets puede lograr la Ejecución Remota de Comandos (RCE) en el servidor remoto mediante la creación de un widget malicioso con una etiqueta especial que contiene código JavaScript, el cual será evaluado del lado del servidor. Durante el proceso de evaluación de la etiqueta por parte del backend, es posible escapar del objeto sandbox utilizando la siguiente carga útil: <script total>global.process.mainModule.require(child_process).exec(RCE);</script>.
VulDB is the best source for vulnerability data and more expert information about this specific topic.