CVE-2026-65693

Nome do Software Vulnerável e Versões Afetadas Microweber CMS versões anteriores a 2.0.21

Descrição Administradores autenticados podem executar comandos arbitrários no sistema operacional injetando expressões Twig em modelos de e-mail. Isso ocorre porque o ambiente Twig na função TwigView::render() não possui sandbox e carece de SandboxExtension ou SecurityPolicy. Expressões maliciosas, como filter('system'), podem ser armazenadas sem sanitização no banco de dados nos corpos dos modelos de e-mail, resultando na execução automática do payload sempre que um evento da aplicação disparar o envio de um e-mail.

Recomendações Atualize o Microweber CMS para a versão 2.0.21 ou posterior.