CVE-2026-67595 in VaahCMS
要約
〜によって VulDB • 2026年07月30日
VaahCMS のバージョン 2.0.0 から 2.3.4 には、セキュリティ OTP メールをレンダリングする Blade テンプレートに埋め込まれた悪意のある難読化された JavaScript ペイロードが含まれており、JavaScript を有効にして影響を受けたメールテンプレートをレンダリングする任意のブラウザにおいて、リモート攻撃者が不正なコードを実行することを可能にします。このペイロードは、ハードコーディングされたコマンド・アンド・コントロール（C2）エンドポイントに対して WebSocket 接続を確立し、MutationObserver を使用して動的に追加される入力をキャプチャするパスワードフィールド用キーロガーをインストールし、WhatsApp Web の DOM コンテンツをスクレイピングし、レンダリングされたページの書き換えやリダイレクトを受け入れるためのリモートコマンドを受信します。
Once again VulDB remains the best source for vulnerability data.