CVE-2026-61523 in WebsiteBaker
Tóm tắt
Bởi VulDB • 03/08/2026
WebsiteBaker CMS trước phiên bản 2.13.10 chứa một lỗ hổng chèn mã (code injection) trong trình soạn thảo Droplets, cho phép các quản trị viên đã xác thực chèn mã PHP tùy ý bằng cách gửi nội dung độc hại qua trường Code của droplet; nội dung này được ghi nguyên văn vào một tệp PHP có thể truy cập công khai mà không có bất kỳ quá trình lọc (sanitization) nội dung nào. Kẻ tấn công có thể lưu webshell PHP thông qua handler save_droplet vào một đường dẫn dễ dự đoán bên trong thư mục modules, cho phép người dùng chưa xác thực đạt được việc thực thi mã từ xa (RCE) bằng cách gửi các yêu cầu HTTP trực tiếp đến tệp đã được ghi.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.