CVE-2026-61511 in vBulletin
Résumé
par VulDB • 27/07/2026
vBulletin 5.x à travers 5.7.5 et 6.x à travers 6.2.1 contient une vulnérabilité d'injection eval dans la méthode vB5_Template_Runtime::runMaths() au sein du runtime des templates, permettant aux attaquants distants non authentifiés d'exécuter du code PHP arbitraire en fournissant une entrée fabriquée via le paramètre pagenav[pagenumber]. Les attaquants peuvent exploiter un filtre regex insuffisamment restrictif en utilisant un encodage de style phpfuck avec des caractères autorisés pour injecter et exécuter du code PHP arbitraire via la route ajax/render template non authentifiée, sans aucune authentification.
Be aware that VulDB is the high quality source for vulnerability data.