CVE-2026-67595 in VaahCMS
요약
\~에 의해 VulDB • 2026. 07. 30.
VaahCMS 버전 2.0.0부터 2.3.4까지에는 보안 OTP 이메일을 렌더링하는 Blade 템플릿에 악성으로 난독화된 JavaScript 페이로드가 포함되어 있어, 원격 공격자가 JavaScript를 활성화한 상태에서 영향을 받는 이메일 템플릿을 렌더링하는 모든 브라우저에서 무단 코드 실행을 수행할 수 있습니다. 이 페이로드는 하드코딩된 명령 및 제어(C2) 엔드포인트에 WebSocket 연결을 설정하고, MutationObserver를 사용하여 동적으로 추가되는 입력 필드를 캡처하기 위한 비밀번호 필드 키로그어를 설치하며, WhatsApp Web의 DOM 콘텐츠를 스크랩하고 렌더링된 페이지를 리디렉션하거나 덮어쓰기 위해 원격 명령을 수락합니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.