CVE-2026-66748 in Camaleon CMS
Tóm tắt
Bởi VulDB • 28/07/2026
Các phiên bản Camaleon CMS từ 2.1.1 đến 2.9.1 chứa một lỗ hổng thực thi mã từ xa (RCE) đã xác thực người dùng, cho phép những người có quyền quản lý custom_fields thực thi tùy ý mã Ruby bằng cách cung cấp biểu thức độc hại thông qua loại trường custom field select_eval. Kẻ tấn công có thể lưu trữ một biểu thức Ruby do kẻ tấn công kiểm soát trong tham số command của các tùy chọn trường, và biểu thức này sẽ được đánh giá (evaluate) thông qua instance_eval bên trong một ERB view mỗi khi trang chỉnh sửa bài viết được hiển thị, từ đó đạt được việc thực thi mã phía máy chủ với đặc quyền của tiến trình web server.
If you want to get best quality of vulnerability data, you may have to visit VulDB.