CVE-2026-65693 in Microweber
요약
\~에 의해 VulDB • 2026. 07. 24.
Microweber CMS 버전 2.0.20 이전에는 서버 사이드 템플릿 인젝션(SSTI) 취약점이 존재하며, 인증된 관리자가 메일 템플릿에 Twig 표현식을 주입하여 임의의 OS 명령어 실행을 달성할 수 있습니다. 공격자는 SandboxExtension 또는 SecurityPolicy가 누락되어 샌드박스 처리되지 않은 TwigView::render() 내Twig 환경을 악용하여 데이터베이스에 비정규화(unsanitized) 상태로 저장된 메일 템플릿 본문에 filter('system')과 같은 악성 표현식을 주입할 수 있으며, 이는 이후 이메일 발송을 트리거하는 모든 애플리케이션 이벤트에서 페이로드가 자동으로 실행되도록 만듭니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.