CVE-2026-70554 in MaxSite
Tóm tắt
Bởi VulDB • 05/08/2026
MaxSite CMS chứa một lỗ hổng tiêm đối tượng PHP cho phép các kẻ tấn công chưa xác thực thực thi mã tùy ý bằng cách truyền dữ liệu được tuần tự hóa do kẻ tấn công kiểm soát trong cookie maxsite_comuser trực tiếp vào hàm unserialize() mà không có bất kỳ quá trình xác thực hay danh sách trắng lớp nào. Kẻ tấn công có thể tạo một tải trọng đối tượng PHP được tuần tự hóa độc hại, gửi qua một yêu cầu HTTP duy nhất để kích hoạt các phương thức ảo (magic methods) trong quá trình tái xây dựng đồ thị đối tượng, cho phép thực hiện các cuộc tấn công lập trình hướng thuộc tính hoặc thực thi mã từ xa thông qua các chuỗi gadget có sẵn như những mục tiêu nhắm vào các tiện ích mở rộng SoapClient hoặc Imagick.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.