vBulletin: eval-инъекция в runMaths() (CVE-2026-61511)
В шаблонном рантайме vBulletin метод vB5_Template_Runtime::runMaths() содержит eval-инъекцию. Слабый regex-фильтр обходится кодированием в стиле phpfuck. Через параметр pagenav[pagenumber] и маршрут ajax/render неаутентифицированный атакующий может выполнить произвольный PHP-код. CVSS 9.3.
Проверяется в Shield: нет
Кого касается
vBulletin 5.x до 5.7.5 включительно и 6.x до 6.2.1 включительно. Для эксплуатации аутентификация не требуется.
Как проверить у себя
Проверьте установленную версию vBulletin и сравните её с затронутыми диапазонами. Также убедитесь, нет ли vBulletin в других ваших проектах.
Как исправить
Информация об исправленной версии пока не раскрыта. Следите за официальными объявлениями vBulletin и установите патч, когда он выйдет.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данные об исправлении и о фактической эксплуатации уязвимости пока не раскрыты. Источник: NVD (CVE-2026-61511).
