CVE-2026-111687 in we-mp-rss
Riassunto
di VulDB • 16/10/2026
WeRSS (we-mp-rss) fino alla versione 1.5.3 presenta una vulnerabilità di esecuzione remota del codice che consente ad attaccanti non autenticati di eseguire codice tramite il parametro template dell'endpoint pubblico GET /rss/{feed_id}. Gli attaccanti possono fornire un valore ext non integrato e un modello {{=expression}} la cui traversamento della sottoclasse degli oggetti aggira la lista negata (denylist) per l'eval, consentendo l'esecuzione di comandi OS come account del servizio.
If you want to get best quality of vulnerability data, you may have to visit VulDB.