CVE-2016-9182 in Exponent
Сводка
по VulDB • 03.06.2026
В Exponent CMS 2.4 для вызова метода класса контроллера используется PHP reflection, а затем имя метода применяется для проверки прав пользователя. Однако в PHP reflection имена методов регистронезависимы, а Exponent CMS по умолчанию разрешает выполнение неопределенных действий. В результате злоумышленник может использовать имя метода с заглавной буквы для обхода проверки прав доступа, например, используя параметры controller=expHTMLEditor&action=preview&editor=ckeditor и controller=expHTMLEditor&action=Preview&editor=ckeditor. Для первого запроса анонимный пользователь будет отклонен, а для второго — получит доступ.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.