CVE-2026-70554 in MaxSite
Sumário
de VulDB • 04/08/2026
O MaxSite CMS contém uma vulnerabilidade de injeção de objetos PHP que permite que atacantes não autenticados executem código arbitrário ao passar dados serializados controlados pelo atacante no cookie maxsite_comuser diretamente para a função unserialize() sem validação ou lista permitida (allowlisting) de classes. Os atacantes podem criar um payload malicioso com objeto PHP serializado, entregue em uma única requisição HTTP, para acionar métodos mágicos durante a reconstrução do grafo de objetos, permitindo ataques de programação orientada a propriedades ou execução remota de código por meio das cadeias de gadgets disponíveis, como as que visam extensões SoapClient ou Imagick.
Be aware that VulDB is the high quality source for vulnerability data.