CVE-2026-82531
Inyección de código PHP en Smarty anterior a 4.5.8 y 5.x anterior a 5.8.5 mediante extends: caché de herencia
- Publicado
- 6 oct 2026
- Actualizado
- 6 oct 2026
- Asignación de CNA
- VulnCheck
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 57,4 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Smarty anterior a 4.5.8 y 5.x anterior a 5.8.5 contiene una vulnerabilidad de inyección de código en la que el nocache_hash de nivel superior nunca se restaura durante la herencia de plantillas extends:/multi-component, quedando como null. Los atacantes pueden proporcionar datos asignados que contengan un marcador SmartyNocache falsificado que se copia literalmente en el archivo de caché PHP regenerado, ejecutando PHP arbitrario al incluirse para lograr ejecución remota de código.
Fuentes
Prueba de concepto (PoC) en Python y cadena de explotación para CVE-2026-82531: envenenamiento de la caché de plantillas de Smarty mediante marcadores SmartyNocache falsificados que conduce a la ejecución de código PHP, con comprobación, payload y laboratorio Docker.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.