CVE-2026-90788: внедрение OS-команд в MacCMS10 через обработчик шаблонов

В системе управления контентом MacCMS10 от разработчика magicblack выявлена уязвимость, позволяющая выполнять произвольные команды операционной системы. Проблеме присвоен идентификатор CVE-2026-90788, её наличие подтверждено в версии 2026.1000.4055.

Подробности

Уязвимость затрагивает компонент Template Handler — обработчик шаблонов. Уязвимая функциональность находится в файле /admin1.php/admin/template/index/path/.%40template%40default%40html%40label.html. При манипуляции входными данными, передаваемыми в этот путь, происходит внедрение команд ОС (os command injection): недостаточная фильтрация пользовательского ввода позволяет передать в оболочку операционной системы произвольные команды.

Атака может быть инициирована удалённо, без физического доступа к серверу. Поскольку речь идёт о компоненте административного интерфейса, для эксплуатации, вероятно, требуется доступ к панели администратора либо действующая сессия привилегированного пользователя — это ограничивает круг потенциальных атакующих, но не устраняет риск полностью.

Уязвимости присвоена базовая оценка CVSS 5.1 (MEDIUM). Отдельно отмечается, что эксплойт уже опубликован в открытом доступе и может применяться для реальных атак. Проект был уведомлён о проблеме заранее через issue-репорт, однако на момент публикации записи ответа от разработчика не последовало.

Что делать

Официального патча на момент публикации CVE нет, поэтому следует опираться на компенсирующие меры:

• Ограничить доступ к административной части сайта (/admin1.php) по IP-адресам или через VPN; не выставлять панель управления в публичную сеть.
• Проверить, используется ли MacCMS10 в инфраструктуре, и по возможности рассмотреть переход на поддерживаемую альтернативу или изоляцию сервиса.
• Усилить мониторинг: отслеживать подозрительные обращения к путям вида /admin/template/index/path/ с нестандартными символами (в том числе URL-кодированными %40), а также аномальные запуски процессов со стороны веб-сервера.
• Следить за обновлениями у разработчика magicblack и установить исправление сразу после его выпуска.
• При наличии WAF настроить правила, блокирующие попытки инъекции команд в параметрах пути.

Также рекомендуется провести проверку журналов веб-сервера и системы на предмет признаков уже состоявшейся эксплуатации, поскольку публичный эксплойт доступен злоумышленникам.

Уязвимость CVE-2026-90788 — типичный пример опасности недостаточной валидации ввода в административных компонентах CMS: даже при средней оценке CVSS наличие готового эксплойта и отсутствие патча повышают практический риск. Основная защита сегодня — ограничение доступа к панели администратора и внимательный мониторинг.

Источник: CVE Project (cvelistV5)