CVE-2026-54721
WysokieCVSS 8.8Streszczenie
Silverstripe UserForms, w wersjach od 6.0.0 do 6.4.9, 7.0.7 i 7.1.1, ma podatność w polu tematu wiadomości e-mail odbiorcy formularza. Specjalnie spreparowany ładunek może być interpretowany jako wykonywalny kod po stronie serwera. Uwierzytelniony użytkownik CMS z uprawnieniami do konfiguracji odbiorcy e-mail może uruchomić dowolny kod na serwerze, naruszając poufność, integralność i dostępność. Problem naprawiono w wersjach 6.4.9, 7.0.7 i 7.1.1.
Ocena ryzyka
Ryzyko obejmuje zdalne wykonanie kodu przez uwierzytelnionego użytkownika, co może prowadzić do pełnej kompromitacji serwera i danych.
Rekomendacja
Zaleca się aktualizację Silverstripe UserForms do wersji 6.4.9, 7.0.7 lub 7.1.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Silverstripe UserForms provides a visual form builder for the Silverstripe CMS. From 6.0.0 until 6.4.9, 7.0.7, and 7.1.1, the userform email recipient subject field in the CMS accepts a specially crafted payload that can be interpreted as executable server-side code. An authenticated CMS user with permission to configure a UserForms email recipient can use the subject field to run arbitrary code on the server, compromising confidentiality, integrity, and availability. This issue is fixed in versions 6.4.9, 7.0.7, and 7.1.1.