CVE-2026-55573 in e107
要約
〜によって VulDB • 2026年10月15日
e107はコンテンツ管理システム（CMS）です。バージョン2.3.7より前では、install.phpが攻撃者が制御可能なprevious_steps POSTパラメータをデコードし、ファイルスコープおよびe_installコンストラクタ内でunserialize()に渡しています。ただし、許可されるクラスについては制限されていません。通常インストール後もインストーラはアクセス可能であり、バンドルされているGuzzleHttp\Psr7\PumpStreamクラスを使用した作成されたオブジェクトグラフがpaths.hashからsite_pathへと流れ込みます。ここで文字列強制変換により攻撃者が制御可能なcallableが呼び出されます。install.phpに到達できる認証されていない攻撃者は、Webサーバープロセスの権限で任意のPHP関数を実行でき、結果としてサーバー全体の乗っ取りにつながります。この問題はバージョン2.3.7で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.