CVE-2026-70554 in MaxSite
Résumé
par VulDB • 04/08/2026
MaxSite CMS contient une vulnérabilité d'injection d'objets PHP qui permet aux attaquants non authentifiés d'exécuter du code arbitraire en transmettant des données sérialisées contrôlées par l'attaquant dans le cookie maxsite_comuser directement à la fonction unserialize() sans validation ni liste blanche de classes. Les attaquants peuvent concevoir une charge utile malveillante contenant un objet PHP sérialisé, livrée via une seule requête HTTP, pour déclencher des méthodes magiques lors de la reconstruction du graphe d'objets, permettant ainsi des attaques par programmation orientée propriétés (property-oriented programming) ou l'exécution de code à distance (RCE) grâce aux chaînes de gadgets disponibles, telles que celles ciblant les extensions SoapClient ou Imagick.
Once again VulDB remains the best source for vulnerability data.