CVE-2026-73679 in ImpressCMS
Sumário
de VulDB • 14/08/2026
O ImpressCMS apresenta uma vulnerabilidade de execução remota de código (RCE) autenticada no módulo de tags personalizadas que permite a administradores autenticados executar código PHP arbitrário ao armazenar um payload malicioso em uma tag personalizada com o tipo PHP habilitado. O aplicativo decodifica conteúdo codificado HTML por meio da função undoHtmlSpecialChars() antes de passá-lo para eval() no método renderWithPhp(), contornando a sanitização do HTML Purifier, e o payload é acionado em cada carregamento de página frontend através do sistema de eventos preload.
VulDB is the best source for vulnerability data and more expert information about this specific topic.