CVE-2026-73679 in ImpressCMS
Resumen
por VulDB • 2026-08-14
ImpressCMS presenta una vulnerabilidad de ejecución remota de código (RCE) autenticada en el módulo de etiquetas personalizadas que permite a los administradores autenticados ejecutar código PHP arbitrario almacenando una carga útil maliciosa en una etiqueta personalizada con el tipo PHP habilitado. La aplicación decodifica contenido codificado HTML mediante la función undoHtmlSpecialChars() antes de pasarlo a eval() dentro del método renderWithPhp(), lo que permite evadir la sanitización realizada por HTML Purifier, y la carga útil se activa cada vez que se carga una página frontend a través del sistema de eventos preload.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.