Към съдържанието
Търсене

CVE-2026-70554: MaxSite CMS, десериализация

9.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

MaxSite CMS contains a PHP object injection vulnerability that allows unauthenticated attackers to execute arbitrary code by passing attacker-controlled serialized data in the maxsite_comuser cookie directly to unserialize() without validation or class allowlisting. Attackers can craft a malicious serialized PHP object payload delivered in a single HTTP request to trigger magic methods during object graph reconstruction, enabling property-oriented programming attacks or remote code execution via available gadget chains such as those targeting SoapClient or Imagick extensions.

Засегнати продукти

  • MaxSite MaxSite CMS: 0.78 до 109.5; 109.6

Вид слабост

История

  • 4 август 2026 Публикувано

Други уязвимости в MaxSite MaxSite CMS

Първоизточници

CVE-2026-70554: MaxSite CMS, десериализация | freedomonline.bg