CVE-2026-73679 in ImpressCMS
要約
〜によって VulDB • 2026年08月15日
ImpressCMSには、カスタムタグモジュールにおいて認証済みリモートコード実行（RCE）の脆弱性が存在します。これにより、認証済みの管理者はPHPタイプを有効にしたカスタムタグに悪意のあるペイロードを保存することで、任意のPHPコードを実行できます。アプリケーションはrenderWithPhp()メソッド内でeval()に渡す前にundoHtmlSpecialChars()を通じてHTMLエンコーディングされたコンテンツをデコードし、HTML Purifierによるサニタイズ処理を回避します。また、このペイロードはpreloadイベントシステムを通じてフロントエンドのページ読み込み時に毎回トリガーされます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.