CVE-2026-70554

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 1.2%
CWE: CWE-502
KEV Durumu: Hayır

Yayım tarihi: 4 Ağustos 2026

MaxSite CMS, maxsite_comuser çerezine doğrudan doğrulama veya sınıf izin listesi olmadan seri hale getirilmiş veri geçirilmesine izin veren bir PHP nesne enjeksiyon zafiyeti içerir. Kimlik doğrulaması yapılmamış saldırganlar, keyfi kod çalıştırabilir. Saldırganlar, nesne grafiğinin yeniden yapılandırılması sırasında magic yöntemleri tetiklemek için tek bir HTTP isteğinde teslim edilen kötü amaçlı seri hale getirilmiş bir PHP nesne yükünü oluşturabilir. Bu, özellik odaklı programlama saldırıları veya SoapClient veya Imagick uzantılarını hedef alan gibi mevcut gadget zincirleri aracılığıyla uzaktan kod çalıştırma ermöglicht.

Orijinal açıklama (İngilizce)

MaxSite CMS contains a PHP object injection vulnerability that allows unauthenticated attackers to execute arbitrary code by passing attacker-controlled serialized data in the maxsite_comuser cookie directly to unserialize() without validation or class allowlisting. Attackers can craft a malicious serialized PHP object payload delivered in a single HTTP request to trigger magic methods during object graph reconstruction, enabling property-oriented programming attacks or remote code execution via available gadget chains such as those targeting SoapClient or Imagick extensions.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.