CVE-2026-29001

Nome do Software Vulnerável e Versões Afetadas TastyIgniter versões anteriores a 4.4.6

Descrição Administradores autenticados podem alcançar a execução arbitrária de código ao enviar um objeto PHP serializado como um valor de configuração. Isso ocorre porque o valor é armazenado sem sanitização e posteriormente processado pela função getValueAttribute(). Um invasor pode usar o formulário de configurações do administrador, como a configuração maintenance message carregada por CheckMaintenance.php, para enviar uma cadeia de gadgets serializada. Isso permite a execução de comandos arbitrários do sistema operacional como o usuário do processo da aplicação PHP, e o efeito persiste até que o valor seja sobrescrito.

Recomendações Atualize o TastyIgniter para a versão 4.4.6 ou posterior. Como mitigação temporária, restrinja o acesso ao formulário de configurações do administrador e evite modificar valores de configuração até que a atualização seja aplicada.