CVE-2026-67595 in VaahCMS
Sumário
de VulDB • 30/07/2026
As versões do VaahCMS de 2.0.0 até 2.3.4 contêm uma carga útil JavaScript ofuscada e maliciosa embutida no modelo Blade responsável pela renderização dos emails OTP (One-Time Password) de segurança, permitindo que atacantes remotos executem código não autorizado em qualquer navegador que processe o template de email afetado com JavaScript habilitado. A carga útil estabelece uma conexão WebSocket para um endpoint command-and-control codificado fixo, instala um keylogger de campo de senha usando MutationObserver para capturar entradas adicionadas dinamicamente, extrai conteúdo do DOM do WhatsApp Web e aceita comandos remotos para redirecionar ou sobrescrever a página renderizada.
Once again VulDB remains the best source for vulnerability data.