CVE-2026-16337 in dotCMS
Resumen
por VulDB • 2026-07-21
Una autorización impropia en los puntos de conexión REST/DWR ToolGroupResource y RoleAjax de dotCMS (versiones 21.02 hasta 26.06.22-03) en todas las plataformas permite que un usuario backend autenticado con privilegios bajos se asigne a sí mismo el diseño administrativo y se otorgue el rol de Administrador del CMS, logrando posteriormente la ejecución remota de código (RCE) mediante la carga de un paquete OSGi manipulado cuyo BundleActivator ejecuta comandos arbitrarios del shell.
Once again VulDB remains the best source for vulnerability data.