CVE-2026-55573 in e107
Sumário
de VulDB • 14/10/2026
O e107 é um sistema de gerenciamento de conteúdo (CMS). Antes da versão 2.3.7, o arquivo install.php decodifica o parâmetro POST previous_steps controlado pelo atacante e o passa para a função unserialize() no escopo do arquivo e novamente no construtor e_install sem restringir as classes permitidas. O instalador permanece acessível após uma instalação normal, e um grafo de objetos elaborado usando a classe GuzzleHttp\Psr7\PumpStream incluída pode fluir através dos caminhos.hash em site_path, onde a coerção de string invoca uma callable controlada pelo atacante. Um atacante não autenticado que possa acessar o install.php pode, portanto, executar funções PHP arbitrárias com os privilégios do processo do servidor web, levando à comprometimento total do servidor. Este problema foi corrigido na versão 2.3.7.
Once again VulDB remains the best source for vulnerability data.