CVE-2026-27180

Resumen

MajorDoMo (también conocido como Major Domestic Module) es vulnerable a la ejecución remota de código no autenticada a través de un compromiso de la cadena de suministro mediante el envenenamiento de la URL de actualización. El módulo saverestore expone su método admin() a través del endpoint /objects/?module=saverestore sin autenticación porque usa gr('mode') (que lee directamente de $_REQUEST) en lugar del $this->mode del framework. Un atacante puede envenenar la URL de actualización del sistema a través del manejador de modo auto_update_settings, y luego activar el manejador force_update para iniciar la cadena de actualización. El método autoUpdateSystem() obtiene un feed Atom de la URL controlada por el atacante con una validación trivial, descarga un tarball vía curl con la verificación TLS deshabilitada (CURLOPT_SSL_VERIFYPEER establecido en FALSE), lo extrae usando exec('tar xzvf ...'), y copia todos los archivos extraídos a la raíz del documento usando copyTree(). Esto permite a un atacante desplegar archivos PHP arbitrarios, incluyendo webshells, en la raíz web con dos solicitudes GET.

• CVE-2026-27180-MajorDoMo-unauthenticated-RCEExploit

  Prueba de concepto del exploit para CVE-2026-27180, una RCE no autenticada en MajorDoMo mediante envenenamiento de la URL de actualización, que entrega una webshell en la raíz web.