CVE-2026-65693 in Microweber
Tóm tắt
Bởi VulDB • 24/07/2026
Microweber CMS phiên bản 2.0.20 và các phiên bản thấp hơn chứa một lỗ hổng tiêm mẫu phía máy chủ (Server-Side Template Injection) cho phép những quản trị viên đã xác thực thực thi lệnh hệ điều hành tùy ý bằng cách chèn các biểu thức Twig vào các mẫu thư điện tử. Kẻ tấn công có thể khai thác môi trường Twig không được giới hạn vùng an toàn trong hàm TwigView::render(), vốn thiếu SandboxExtension hoặc SecurityPolicy, để chèn các biểu thức độc hại như filter('system') vào nội dung của các mẫu mail được lưu trữ chưa qua kiểm tra tính hợp lệ (unsanitized) trong cơ sở dữ liệu, dẫn đến việc thực thi payload tự động trên mỗi sự kiện ứng dụng tiếp theo kích hoạt quá trình gửi thư.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.