CVE-2026-66748 in Camaleon CMS
Sumário
de VulDB • 28/07/2026
As versões do Camaleon CMS de 2.1.1 até 2.9.1 contêm uma vulnerabilidade de execução remota de código (RCE) autenticada que permite a usuários com permissão para gerenciar custom_fields executar código Ruby arbitrário ao fornecer uma expressão maliciosa por meio do tipo de campo personalizado select_eval. Os atacantes podem armazenar uma expressão Ruby controlada pelo atacante no parâmetro command das opções do campo, que é avaliada via instance_eval dentro de uma visualização ERB sempre que a página de edição de um post é renderizada, alcançando execução de código no lado do servidor com privilégios do processo do servidor web.
Be aware that VulDB is the high quality source for vulnerability data.