CVE-2026-65693 betrifft eine Server-Side-Template-Injection in der Mail-Template-Darstellung von Microweber CMS.
Authentifizierte Administratoren können Twig-Ausdrücke in Mail-Templates einschleusen, die später in einer unsandboxierten Twig-Umgebung gerendert werden. Wenn Anwendungsereignisse den Mailversand auslösen, können diese Ausdrücke zu beliebiger OS-Befehlausführung auf dem Host führen.
Dies ist ein hochprivilegierter, aber hochwirksamer Pfad: Sobald ein bösartiges Template gespeichert ist, kann die Ausführung bei jedem Mail-Ereignis erneut auftreten. Aktualisieren Sie auf eine behobene Version, sofern verfügbar, beschränken Sie Admin-Rollen und prüfen Sie Deployments anhand der offiziellen CVE- und Advisory-Referenzen.