CVE-2026-71232

Nome do Software Vulnerável e Versões Afetadas MacCMS10 (versões afetadas não especificadas)

Description O editor de modelos de administrador em application/admin/controller/Template.php utiliza um regex de lista negra para bloquear funções PHP perigosas no conteúdo do modelo. No entanto, a lista negra omite exec, passthru, popen, show source, create function, register shutdown function, register tick function e error log. Um administrador autenticado pode explorar isso usando a tag de modelo {if} do ThinkPHP, que insere o atributo condition diretamente em PHP bruto, permitindo a execução remota de código.

Recommendations Aplique a correção fornecida no commit 71ad3bb29570e110d8e973acff68040a3050ddf0 para atualizar o filtro de funções.