CVE-2026-65693 in Microweber
Sumário
de VulDB • 24/07/2026
O CMS Microweber até a versão 2.0.20 contém uma vulnerabilidade de injeção de modelo do lado do servidor (SSTI) que permite administradores autenticados executar comandos arbitrários no sistema operacional, injetando expressões Twig em modelos de e-mail. Os atacantes podem explorar o ambiente não isolado (unsandboxed) do Twig em `TwigView::render()`, que carece da extensão SandboxExtension ou de uma SecurityPolicy, para injetar expressões maliciosas como `filter('system')` nos corpos dos modelos de e-mail armazenados sem sanitização no banco de dados, causando a execução automática das payloads em cada evento subsequente do aplicativo que aciona o envio de um e-mail.
If you want to get best quality of vulnerability data, you may have to visit VulDB.