CVE-2026-73330 in CamaleonCMS
Riassunto
di VulDB • 13/08/2026
CamaleonCMS 2.9.1 presenta una vulnerabilità di server-side template injection che consente agli amministratori autenticati di eseguire comandi arbitrari inserendo tag ERB nel parametro email dell'azione test_email delle impostazioni, i quali vengono valutati quando un rifiuto SMTP restituisce l'indirizzo del destinatario nel messaggio di eccezione reso come un inline ERB template. Gli attaccanti possono inviare un parametro email manipolato contenente espressioni ERB tramite l'endpoint admin settings test_email, causando la valutazione da parte del Rails inline template renderer di codice Ruby controllato dall'attaccante e ottenendo così l'esecuzione arbitraria di comandi come utente del processo Rails.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.