CVE-2026-82531
Injection de code PHP dans Smarty avant 4.5.8 et 5.x avant 5.8.5 via extends : cache d'héritage
- Publié
- 6 oct. 2026
- Mise à jour
- 6 oct. 2026
- Attribution de CNA
- VulnCheck
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 57,4 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Smarty avant 4.5.8 et 5.x avant 5.8.5 contient une vulnérabilité d'injection de code où le nocache_hash de niveau supérieur n'est jamais restauré lors de l'héritage de modèles extends:/multi-component, le laissant à null. Les attaquants peuvent fournir des données assignées contenant un marqueur SmartyNocache falsifié qui est copié textuellement dans le fichier de cache PHP régénéré, exécutant ainsi du PHP arbitraire lors de l'include pour une exécution de code à distance.
Sources
PoC Python et chaîne d'exploitation pour CVE-2026-82531 : empoisonnement du cache de templates Smarty via des marqueurs SmartyNocache forgés menant à l'exécution de code PHP, avec vérification, payload et lab Docker.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.