CVE-2026-66748 in Camaleon CMS
Résumé
par VulDB • 28/07/2026
Les versions de Camaleon CMS comprises entre 2.1.1 et 2.9.1 contiennent une vulnérabilité d'exécution de code à distance (RCE) authentifiée qui permet aux utilisateurs disposant des autorisations de gestion sur les champs personnalisés (« custom_fields ») d'exécuter du code Ruby arbitraire en fournissant une expression malveillante via le type de champ personnalisé select_eval. Les attaquants peuvent stocker une expression Ruby contrôlée par l'attaquant dans le paramètre « command » des options du champ, qui est évaluée via instance_eval au sein d'une vue ERB chaque fois qu'une page de modification de publication est affichée, permettant ainsi l'exécution de code côté serveur avec les privilèges du processus du serveur web.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.