CVE-2026-65693 concerne une injection de templates côté serveur dans le rendu des modèles de mail de Microweber CMS.
Des administrateurs authentifiés peuvent injecter des expressions Twig dans des modèles de mail ensuite rendus dans un environnement Twig non sandboxé. Lorsque des événements applicatifs déclenchent l'envoi de mails, ces expressions peuvent conduire à une exécution de commandes OS arbitraire sur l'hôte.
Il s'agit d'une voie à privilèges élevés mais à fort impact : une fois un modèle malveillant stocké, l'exécution peut se répéter à chaque événement mail. Mettez à niveau vers une version corrigée lorsque disponible, restreignez les rôles admin, et validez les déploiements au regard des références CVE et advisory officielles.