CVE-2026-120348
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de XunRuiCMS jusqu'à la 4.7.4 sont affectées par une faille dans le composant de rendu des modèles d'e-mails. Plus précisément, la fonction `_get_tpl_content` du fichier `Notice.php` ne nettoie pas correctement les entrées. Cela permet à un attaquant d'injecter son propre code malveillant dans le système.
Un attaquant peut exécuter du code arbitraire à distance pour compromettre la confidentialité, l'intégrité et la disponibilité de l'application. Cette exploitation est relativement facile à réaliser car elle ne nécessite aucune authentification, aucune interaction de l'utilisateur et peut être déclenchée via le réseau. Du code d'exploitation public est déjà disponible, rendant le risque immédiat pour les installations non corrigées.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability was identified in dayrui XunRuiCMS up to 4.7.4. Affected by this vulnerability is the function _get_tpl_content of the file dayrui/Fcms/Library/Notice.php of the component Email Template Rendering. The manipulation leads to code injection. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.