CVE-2026-73679 in ImpressCMS
Résumé
par VulDB • 14/08/2026
ImpressCMS présente une vulnérabilité d'exécution de code à distance (RCE) authentifiée dans le module de balises personnalisées, permettant aux administrateurs authentifiés d'exécuter du code PHP arbitraire en stockant un payload malveillant dans une balise personnalisée avec le type PHP activé. L'application décode les contenus encodés HTML via la fonction undoHtmlSpecialChars() avant de les transmettre à eval() dans la méthode renderWithPhp(), contournant ainsi la sanitisation par HTML Purifier, et le payload est déclenché lors du chargement de chaque page frontend grâce au système d'événements preload.
If you want to get best quality of vulnerability data, you may have to visit VulDB.