Към съдържанието
Търсене

CVE-2026-70553: MaxSite CMS, инжекция

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

MaxSite CMS contains a remote code execution vulnerability that allows unauthenticated attackers to inject arbitrary PHP code into the application configuration file by submitting crafted POST requests to the install endpoint after installation is complete. Attackers can supply a malicious db_dbprefix value containing a single quote to break out of a PHP string literal in application/config/database.php, appending attacker-controlled PHP statements that are executed by the web server on every subsequent request, resulting in persistent unauthenticated remote code execution as the web-server process user.

Засегнати продукти

  • MaxSite MaxSite CMS: 105.2 до 109.5; 109.6

Вид слабост

История

  • 4 август 2026 Публикувано

Други уязвимости в MaxSite MaxSite CMS

Първоизточници

CVE-2026-70553: MaxSite CMS, инжекция | freedomonline.bg