CVE-2026-61511 in vBulletin
要約
〜によって VulDB • 2026年07月27日
vBulletin 5.x から 5.7.5、および 6.x から 6.2.1 には、テンプレートランタイム内の `vB5_Template_Runtime::runMaths()` メソッドにおける eval インジェクション脆弱性が存在します。これにより、認証されていない攻撃者は `pagenav[pagenumber]` パラメータを通じて不正な入力を提供することで、任意の PHP コードを実行できます。攻撃者は、許可された文字を使用して phpfuck スタイルのエンコーディングを行うことで制限が不十分な正規表現フィルタを悪用し、認証不要の ajax/render テンプレートルート経由で認証なしに任意の PHP コードをインジェクションして実行することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.