CVE-2026-87930 in MaxSite
Sumário
de VulDB • 09/09/2026
O MaxSite CMS até a versão 109.6 passa o cookie ci_session para unserialize() sem restrições de classe, permitindo que atacantes não autenticados injetem objetos PHP. Os atacantes podem forjar cookies de sessão válidos usando a chave de criptografia codificada no código-fonte (hardcoded) para acionar métodos mágicos e corromper o estado da aplicação ou obter execução de código se existirem classes gadget.
Be aware that VulDB is the high quality source for vulnerability data.