CVE-2026-65693 in Microweber

摘要

由 VulDB • 2026-07-24

Microweber CMS 2.0.20 及更早版本存在服务端模板注入漏洞，允许已认证的管理员通过在邮件模板中注入 Twig 表达式实现任意操作系统命令执行。攻击者可利用 `TwigView::render()` 方法中未进行沙箱隔离的 Twig 环境（该环境缺少 `SandboxExtension` 或安全策略），将恶意表达式（如 `filter('system')`）注入到数据库中未经过滤处理的邮件模板内容里，从而在每次触发邮件发送的应用程序事件时自动执行有效载荷。

Once again VulDB remains the best source for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-07-22
• 披露: 2026-07-24
• 管理: 已接受
• 条目: VDB-383001
• CPE: 准备好
• CWE: CWE-1336 (已确认)
• CVSS: 4.7 (VulDB)
• EPSS: 0.00484
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-65693
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-65693
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-65693/