CVE-2026-65693
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Microweber CMS do wersji 2.0.20 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Uwierzytelniony administrator może uzyskać zdalne wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie wyrażeń Twig do szablonów poczty.
Ocena ryzyka
Atakujący może wykorzystać niesandboxowane środowisko Twig w TwigView::render(), które nie posiada SandboxExtension ani SecurityPolicy, aby wstrzyknąć złośliwe wyrażenia, takie jak filter('system'), do treści szablonów poczty. Prowadzi to do automatycznego wykonania ładunku przy każdym zdarzeniu aplikacji wywołującym wysłanie wiadomości.
Rekomendacja
Zaleca się natychmiastową aktualizację Microweber CMS do wersji powyżej 2.0.20 oraz zastosowanie odpowiednich zabezpieczeń dla środowiska Twig.
Inne podatności w Microweber CMS
Zobacz wszystkie- CVE-2014-9464Wysokie
W Microweber CMS w wersji 0.95 przed 20141209 występuje podatność na wstrzykiwanie SQL w pliku Category.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr category.
- CVE-2026-67617Średnie
Microweber CMS do wersji 2.0.20 zawiera podatność na trwałe XSS w systemie tagowania treści. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript przez parametr tag_names w endpoint GET /api/save_content_admin, omijając trzy niezależne mechanizmy sanityzacji. Wstrzyknięty skrypt wykonuje się bez interakcji użytkownika dla każdego odwiedzającego publiczną stronę bloga oraz w edytorze postów admina.
- CVE-2026-65694Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność path traversal w kontrolerze plików statycznych. Nieuwierzytelniony atakujący może odczytać dowolne pliki, podając sekwencje traversal w parametrze path.
Oryginalny opis (angielski, źródło NVD)
Microweber CMS through 2.0.20 contains a server-side template injection vulnerability that allows authenticated administrators to achieve arbitrary OS command execution by injecting Twig expressions into mail templates. Attackers can exploit the unsandboxed Twig environment in TwigView::render(), which lacks SandboxExtension or a SecurityPolicy, to inject malicious expressions such as filter('system') into mail template bodies stored unsanitized in the database, causing automatic payload execution on each subsequent application event that triggers a mail dispatch.