vBulletin: eval injection w runMaths() (CVE-2026-61511)
Metoda vB5_Template_Runtime::runMaths() w środowisku szablonów vBulletin zawiera podatność typu eval injection. Słaby filtr regex można obejść kodowaniem w stylu phpfuck. Przez parametr pagenav[pagenumber] i trasę ajax/render nieuwierzytelniony atakujący może wykonać dowolny kod PHP. CVSS 9.3.
Sprawdzane w Shield: nie
Kogo dotyczy
vBulletin 5.x do 5.7.5 włącznie oraz 6.x do 6.2.1 włącznie. Do wykorzystania podatności nie jest wymagane uwierzytelnienie.
Jak sprawdzić u siebie
Sprawdź zainstalowaną wersję vBulletin i porównaj ją z podatnymi zakresami. Upewnij się też, czy vBulletin nie jest używany w innych Twoich projektach.
Jak naprawić
Wersja z poprawką nie została jeszcze ujawniona. Śledź oficjalne komunikaty vBulletin i zainstaluj łatkę, gdy się pojawi.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Dostępność łatki i faktyczne wykorzystanie podatności nie zostały jeszcze ujawnione. Źródło: NVD (CVE-2026-61511).
