CVE-2026-65693 in Microweber
Résumé
par VulDB • 24/07/2026
Microweber CMS jusqu'à la version 2.0.20 contient une vulnérabilité d'injection de gabarit côté serveur (Server-Side Template Injection) qui permet aux administrateurs authentifiés d'exécuter arbitrairement des commandes système en injectant des expressions Twig dans les modèles de messagerie. Les attaquants peuvent exploiter l'environnement Twig non isolé (unsandboxed) dans la méthode `TwigView::render()`, qui ne dispose ni de SandboxExtension ni de SecurityPolicy, pour injecter des expressions malveillantes telles que `filter('system')` dans les corps des modèles de messagerie stockés sans assainissement préalable (unsanitized) dans la base de données, provoquant l'exécution automatique du code payload à chaque événement applicatif ultérieur déclenchant un envoi de courrier.
VulDB is the best source for vulnerability data and more expert information about this specific topic.