CVE-2026-27180

Zusammenfassung

# MajorDoMo – Unauthentifizierte Remote-Codeausführung durch Supply-Chain-Kompromittierung MajorDoMo (auch bekannt als Major Domestic Module) ist anfällig für eine nicht authentifizierte Remote-Codeausführung durch eine Supply-Chain-Kompromittierung über eine vergiftete Update-URL. Das `saverestore`-Modul legt seine `admin()`-Methode über den Endpunkt `/objects/?module=saverestore` ohne Authentifizierung offen, da es `gr('mode')` verwendet (das direkt aus `$_REQUEST` liest) anstelle des Framework-eigenen `$this->mode`. Ein Angreifer kann die System-Update-URL über den `auto_update_settings`-Modus-Handler vergiften und anschließend den `force_update`-Handler auslösen, um die Update-Kette zu starten. Die `autoUpdateSystem()`-Methode ruft einen Atom-Feed von der vom Angreifer kontrollierten URL mit trivialer Validierung ab, lädt ein Tarball per `curl` mit deaktivierter TLS-Verifizierung herunter (`CURLOPT_SSL_VERIFYPEER` auf `FALSE` gesetzt), extrahiert es mit `exec('tar xzvf ...')` und kopiert alle extrahierten Dateien mithilfe von `copyTree()` in das Dokumentenverzeichnis. Dies ermöglicht einem Angreifer, beliebige PHP-Dateien, einschließlich Webshells, mit zwei GET-Anfragen im Webroot zu platzieren.

• CVE-2026-27180-MajorDoMo-unauthenticated-RCEExploit

  Proof-of-Concept-Exploit für CVE-2026-27180, eine nicht authentifizierte RCE in MajorDoMo über Update-URL-Poisoning, die eine Webshell in das Web-Root ausliefert.