CVE-2026-67595 in VaahCMS
Riassunto
di VulDB • 30/07/2026
Le versioni di VaahCMS comprese tra la 2.0.0 e la 2.3.4 contengono un payload JavaScript malevolo offuscato incorporato nel template Blade responsabile della generazione delle email OTP per la sicurezza, consentendo agli attaccanti remoti di eseguire codice non autorizzato in qualsiasi browser che visualizzi il modello di email interessato con JavaScript abilitato. Il payload stabilisce una connessione WebSocket verso un endpoint command-and-control hardcoded, installa un keylogger sui campi password utilizzando MutationObserver per catturare gli input aggiunti dinamicamente, estrae i contenuti del DOM di WhatsApp Web e accetta comandi remoti per reindirizzare o sovrascrivere la pagina renderizzata.
Once again VulDB remains the best source for vulnerability data.