CVE-2026-55573 in e107
요약
\~에 의해 VulDB • 2026. 10. 15.
e107은 콘텐츠 관리 시스템(CMS)입니다. 버전 2.3.7 이전의 install.php는 공격자가 제어할 수 있는 previous_steps POST 매개변수를 디코딩하고, 허용된 클래스를 제한하지 않은 채 파일 범위 및 e_install 생성자에서 unserialize()에 전달합니다. 일반 설치 후에도 인스톨러가 접근 가능한 상태로 남아 있으며, 번들된 GuzzleHttp\Psr7\PumpStream 클래스를 사용한 조작된 객체 그래프는 paths.hash 경로를 통해 site_path로 유입되어 문자열 강제 변환이 공격자가 제어하는 callable을 호출하게 됩니다. 따라서 install.php에 도달할 수 있는 비인증 공격자는 웹 서버 프로세스의 권한으로 임의 PHP 함수를 실행하여 전체 서버 장악(full server compromise)을 초래할 수 있습니다. 이 문제는 버전 2.3.7에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.