What is CVE-2026-71232?
The admin template editor in MacCMS10 (Template.php) uses a blacklist regex to block dangerous PHP functions, but omits critical ones like `exec`, `passthru`, and `create_function`. This allows authenticated users to achieve remote code execution (RCE) via template content. Restrict admin panel access and update the blacklist immediately.
Azərbaycanca: MacCMS10-un admin şablon redaktorunda (Template.php) təhlükəli PHP funksiyalarını bloklamaq üçün istifadə edilən qara siyahı əsaslı regex-də `exec`, `passthru` və `create_function` kimi kritik funksiyalar buraxılıb. Bu boşluq autentifikasiya olunmuş istifadəçiyə şablon məzmunu vasitəsilə remote code execution (RCE) imkanı yaradır. Administrasiya panelini məhdudlaşdırmaq və qara siyahını yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-94
FAQ2
Which PHP functions are missing from the blacklist in MacCMS10's admin template editor?
The blacklist in MacCMS10's Template.php file omits critical PHP functions such as `exec`, `passthru`, and `create_function`.
What does CVE-2026-71232 allow an authenticated user to do?
This vulnerability allows an authenticated user to achieve remote code execution (RCE) via template content.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.