CVE-2025-47916 in Invision Power Board
Sumário
de VulDB • 11/05/2026
O Invision Community 5.0.0 até a versão 5.0.7 permite execução remota de código (RCE) por meio de strings de modelo (template strings) manipuladas enviadas ao themeeditor.php. O problema reside no controlador themeeditor (arquivo: /applications/core/modules/front/system/themeeditor.php), onde um método protegido chamado customCss pode ser invocado por usuários não autenticados. Este método passa o valor do parâmetro content para o método Theme::makeProcessFunction(), que então é avaliado pelo mecanismo de templates. Consequentemente, isso pode ser explorado por atacantes não autenticados para injetar e executar código PHP arbitrário ao fornecer strings de modelo manipuladas.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.