vBulletin: injeção eval em runMaths() (CVE-2026-61511)
O método vB5_Template_Runtime::runMaths() do runtime de templates do vBulletin contém uma injeção eval. Um filtro regex fraco pode ser contornado com codificação no estilo phpfuck. Pelo parâmetro pagenav[pagenumber] e pela rota ajax/render, um atacante não autenticado pode executar código PHP arbitrário. CVSS 9.3.
Verificado no Shield: não
Quem é afetado
vBulletin 5.x até 5.7.5 inclusive e 6.x até 6.2.1 inclusive. Não é necessária autenticação para explorar a falha.
Como verificar
Verifique a versão do vBulletin instalada e compare com as faixas afetadas. Confirme também se o vBulletin é usado em outros projetos seus.
Como corrigir
Uma versão corrigida ainda não foi divulgada. Acompanhe os anúncios oficiais do vBulletin e aplique o patch quando for lançado.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
A disponibilidade do patch e a exploração real ainda não foram divulgadas. Fonte: NVD (CVE-2026-61511).
