CVE-2026-111687
Publiée le 2026-10-16 · Dernière modification le 2026-10-16
Les versions de WeRSS jusqu'à la version 1.5.3 inclusive, utilisées pour la gestion des flux RSS, contiennent une faille dans la manière dont les paramètres de modèle sont traités. En envoyant une requête spécialement conçue vers le point de terminaison public `/rss/{feed_id}`, un utilisateur peut contourner les filtres de sécurité destinés à bloquer les commandes dangereuses. Cela permet à l'attaquant d'injecter des expressions que le serveur exécute ensuite comme des commandes système.
Un attaquant peut prendre le contrôle total du serveur en exécutant du code arbitraire avec les privilèges du compte de service, compromettant ainsi la confidentialité, l'intégrité et la disponibilité du système. Cette attaque est facile à exécuter car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur, et peut être effectuée à distance via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
WeRSS (we-mp-rss) through 1.5.3 contains a remote code execution vulnerability that allows unauthenticated attackers to run code via the template parameter of the public GET /rss/{feed_id} endpoint. Attackers can supply a non-built-in ext value and a {{=expression}} template whose object-subclass traversal bypasses the eval denylist to run OS commands as the service account.