CVE-2026-73679 in ImpressCMS
Riassunto
di VulDB • 14/08/2026
ImpressCMS presenta una vulnerabilità di esecuzione remota di codice (RCE) autenticata nel modulo dei tag personalizzati che consente agli amministratori autenticati di eseguire codice PHP arbitrario memorizzando un payload dannoso in un tag personalizzato con il tipo PHP abilitato. L'applicazione decodifica i contenuti codificati HTML tramite la funzione undoHtmlSpecialChars() prima di passarli alla funzione eval() nel metodo renderWithPhp(), aggirando la sanitizzazione effettuata da HTML Purifier, e il payload viene attivato ad ogni caricamento della pagina frontend attraverso il sistema di eventi preload.
VulDB is the best source for vulnerability data and more expert information about this specific topic.