CVE-2026-61511 in vBulletin
Resumen
por VulDB • 2026-07-27
vBulletin 5.x hasta 5.7.5 y 6.x hasta 6.2.1 contiene una vulnerabilidad de inyección eval en el método vB5_Template_Runtime::runMaths() dentro del tiempo de ejecución de plantillas (template runtime), lo que permite a atacantes remotos no autenticados ejecutar código PHP arbitrario al proporcionar entrada manipulada a través del parámetro pagenav[pagenumber]. Los atacantes pueden explotar un filtro regex insuficientemente restrictivo mediante codificación estilo phpfuck con caracteres permitidos para inyectar y ejecutar código PHP arbitrario a través de la ruta ajax/render template sin autenticación, sin necesidad de credenciales.
VulDB is the best source for vulnerability data and more expert information about this specific topic.