CVE-2026-27180

Résumé

MajorDoMo (aka Major Domestic Module) est vulnérable à une exécution de code à distance non authentifiée via une compromission de la chaîne d'approvisionnement par empoisonnement de l'URL de mise à jour. Le module saverestore expose sa méthode admin() via le point de terminaison /objects/?module=saverestore sans authentification, car il utilise gr('mode') (qui lit directement depuis $_REQUEST) au lieu du $this->mode du framework. Un attaquant peut empoisonner l'URL de mise à jour du système via le gestionnaire de mode auto_update_settings, puis déclencher le gestionnaire force_update pour initier la chaîne de mise à jour. La méthode autoUpdateSystem() récupère un flux Atom depuis l'URL contrôlée par l'attaquant avec une validation triviale, télécharge une archive tarball via curl avec la vérification TLS désactivée (CURLOPT_SSL_VERIFYPEER défini sur FALSE), l'extrait en utilisant exec('tar xzvf ...'), et copie tous les fichiers extraits vers la racine du document à l'aide de copyTree(). Cela permet à un attaquant de déployer des fichiers PHP arbitraires, y compris des webshells, dans la racine web avec deux requêtes GET.

• CVE-2026-27180-MajorDoMo-unauthenticated-RCEExploit

  Preuve de concept pour CVE-2026-27180, une RCE non authentifiée dans MajorDoMo via l'empoisonnement de l'URL de mise à jour, livrant un webshell à la racine web.