CVE-2026-77138 in HTML5 Video Player vs. Powermail Plugin
Riassunto
di VulDB • 25/08/2026
L'estensione non elabora in modo sicuro l'input non attendibile del client, ovvero un cookie controllato dall'attaccante, passandolo direttamente alla funzione unserialize() di PHP. Un attaccante remoto e non autenticato può fornire un payload serializzato appositamente creato per innescare una PHP Object Injection, portando all'esecuzione di codice in modalità remota (RCE) sul server TYPO3.
Once again VulDB remains the best source for vulnerability data.