CVE-2026-71981

Nome do Software Vulnerável e Versões Afetadas Cypht versões anteriores a 2.12.2

Description Atacantes autenticados podem executar comandos arbitrários do sistema operacional por meio de uma injeção de objeto PHP. Isso ocorre quando um grafo de objeto PHP manipulado é fornecido através do parâmetro GET back query do manipulador de logout. A aplicação decodifica um payload serializado em base64 e o passa para a função unserialize() sem uma lista de permissões, verificação de assinatura ou restrição de tipo, permitindo a exploração de gadget-chain para alcançar a execução remota de código como o processo do servidor web.

Recommendations Atualize para a versão 2.12.2 ou posterior. Evite usar o parâmetro back query no manipulador de logout até que a atualização seja aplicada.