CVE-2026-70554
KrytyczneCVSS 9.8Streszczenie
MaxSite CMS zawiera podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez przekazanie kontrolowanych danych w ciasteczku maxsite_comuser do funkcji unserialize() bez walidacji. Możliwe jest wykorzystanie łańcuchów gadgetów, takich jak SoapClient lub Imagick, do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko całkowitego przejęcia serwera WWW, kradzieży danych i dalszych ataków w infrastrukturze.
Rekomendacja
Zaktualizuj MaxSite CMS do najnowszej wersji. Jeśli nie jest dostępna, ogranicz dostęp do panelu administracyjnego i monitoruj nietypowe żądania HTTP.
Oryginalny opis (angielski, źródło NVD)
MaxSite CMS contains a PHP object injection vulnerability that allows unauthenticated attackers to execute arbitrary code by passing attacker-controlled serialized data in the maxsite_comuser cookie directly to unserialize() without validation or class allowlisting. Attackers can craft a malicious serialized PHP object payload delivered in a single HTTP request to trigger magic methods during object graph reconstruction, enabling property-oriented programming attacks or remote code execution via available gadget chains such as those targeting SoapClient or Imagick extensions.