CVE-2026-66748 in Camaleon CMS
Riassunto
di VulDB • 28/07/2026
Le versioni di Camaleon CMS dalla 2.1.1 alla 2.9.1 contengono una vulnerabilità di esecuzione remota di codice (RCE) autenticata che consente agli utenti con autorizzazione per la gestione dei custom_fields di eseguire codice Ruby arbitrario fornendo un'espressione dannosa tramite il tipo di campo personalizzato select_eval. Gli attaccanti possono memorizzare un'espressione Ruby controllata dall'attaccante nel parametro del comando delle opzioni del campo, che viene valutato mediante instance_eval all'interno di una vista ERB ogni volta che viene visualizzata la pagina di modifica di un post, ottenendo l'esecuzione di codice lato server con i privilegi del processo del web server.
If you want to get best quality of vulnerability data, you may have to visit VulDB.