CVE-2026-86596

Nome do Software Vulnerável e Versões Afetadas s2Member versões anteriores a 260928

Description Atacantes autenticados com acesso de nível customizado ou superior podem realizar a execução remota de código no servidor. O problema ocorre no processamento de modelos de e-mail IPN devido à sanitização insuficiente na função strip php tags deep(), que remove apenas sequências literais '<?'. Um processo de limpeza de espaços reservados pós-interpolação subsequentemente remonta uma abertura '<?php' válida após o valor controlado pelo atacante ter sido incorporado ao modelo de e-mail. Isso permite a injeção de código PHP através do parâmetro item name.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.