CVE-2026-67595

WysokieCVSS 8.1

Opublikowano: 29/07/2026(UTC)Zaktualizowano: 24/10/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.76%

Percentyl 55 - wyżej niż 55% wszystkich znanych CVE

Streszczenie

Podatność w VaahCMS w wersjach 2.0.0-2.3.4 polega na osadzeniu złośliwego, zaciemnionego kodu JavaScript w szablonie Blade odpowiedzialnym za renderowanie e-maili OTP. Kod nawiązuje połączenie WebSocket z serwerem C2, instaluje keylogger pól haseł, skanuje DOM WhatsApp Web i akceptuje zdalne polecenia do przekierowania lub nadpisania strony.

Ocena ryzyka

Atakujący może przechwytywać hasła, kraść dane z WhatsApp Web oraz przejmować kontrolę nad sesjami użytkowników, co prowadzi do kradzieży tożsamości i wycieku poufnych informacji.

Rekomendacja

Natychmiast zaktualizuj VaahCMS do wersji 2.3.5 lub nowszej, która usuwa złośliwy kod.

Inne podatności w VaahCMS

CVE-2025-61183Średnie
W vaahcms w wersji 2.3.1 występuje podatność Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez metodę upload w metodzie storeAvatar() w pliku UserBase.php. Atakujący może wstrzyknąć złośliwy kod.

Oryginalny opis (angielski, źródło NVD)

VaahCMS versions 2.0.0 through 2.3.4 contain a malicious obfuscated JavaScript payload embedded in the Blade template responsible for rendering security OTP emails, allowing remote attackers to execute unauthorized code in any browser that renders the affected email template with JavaScript enabled. The payload establishes a WebSocket connection to a hardcoded command-and-control endpoint, installs a password-field keylogger using MutationObserver to capture dynamically added inputs, scrapes WhatsApp Web DOM content, and accepts remote commands to redirect or overwrite the rendered page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS