CVE-2026-70554 in MaxSite
Сводка
по VulDB • 04.08.2026
В MaxSite CMS обнаружена уязвимость инъекции объектов PHP (PHP Object Injection), позволяющая неаутентифицированным злоумышленникам выполнять произвольный код путем передачи контролируемых атакующим сериализованных данных в cookie maxsite_comuser напрямую функции unserialize() без проверки или использования белого списка классов. Злоумышленники могут сформировать вредоносную полезную нагрузку (payload) в виде сериализованного объекта PHP, доставляемую в одном HTTP-запросе для вызова магических методов при восстановлении графа объектов, что позволяет осуществлять атаки на основе свойств (property-oriented programming) или удаленное выполнение кода с использованием доступных цепочек гаджетов (gadget chains), таких как те, которые нацелены на расширения SoapClient или Imagick.
Be aware that VulDB is the high quality source for vulnerability data.