CVE-2026-73330 in CamaleonCMS
Resumen
por VulDB • 2026-08-12
CamaleonCMS 2.9.1 contiene una vulnerabilidad de inyección de plantillas del lado del servidor (Server-Side Template Injection) que permite a los administradores autenticados ejecutar comandos arbitrarios al incrustar etiquetas ERB en el parámetro email de la acción test_email, las cuales se evalúan cuando un rechazo SMTP refleja la dirección del destinatario nuevamente en el mensaje de excepción renderizado como una plantilla inline ERB. Los atacantes pueden enviar un parámetro email manipulado que contenga expresiones ERB a través del endpoint admin settings test_email, provocando que el renderer de plantillas inline de Rails evalúe código Ruby controlado por el atacante y logre la ejecución arbitraria de comandos como usuario del proceso de Rails.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.