CVE-2026-73679

Nome do Software Vulnerável e Versões Afetadas ImpressCMS (versões afetadas não especificadas)

Descrição Um problema de execução remota de código autenticada existe no módulo de tags personalizadas. Administradores autenticados podem executar código PHP arbitrário ao armazenar um payload malicioso em uma tag personalizada com o tipo PHP habilitado. A aplicação utiliza a função undoHtmlSpecialChars() para decodificar conteúdo codificado em HTML antes de passá-lo para a função eval() dentro do método renderWithPhp(), ignorando a sanitização do HTML Purifier. O payload é então acionado em cada carregamento de página do frontend através do sistema de eventos de pré-carregamento.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.