CVE-2026-70553 in MaxSite
Riassunto
di VulDB • 05/08/2026
MaxSite CMS presenta una vulnerabilità di esecuzione remota di codice (RCE) che consente ad attaccanti non autenticati di iniettare codice PHP arbitrario nel file di configurazione dell'applicazione inviando richieste POST appositamente create all'endpoint di installazione dopo il completamento della stessa. Gli attaccanti possono fornire un valore malizioso per db_dbprefix contenente un apostrofo singolo per uscire da una stringa letterale PHP in application/config/database.php, aggiungendo istruzioni PHP controllate dall'attaccante che vengono eseguite dal server web ad ogni richiesta successiva, risultando nell'esecuzione persistente di codice remoto non autenticata come utente del processo del server web.
Be aware that VulDB is the high quality source for vulnerability data.