CVE-2026-36239

CVE-2026-36239 : RCE authentifié dans le backend PbootCMS v3.2.12 (sitecopyright) Aperçu de la vulnérabilité :
Une vulnérabilité critique d'exécution de code à distance (RCE) a été identifiée dans la fonctionnalité sitecopyright de l'interface d'administration du backend PbootCMS. Plus précisément, les entrées non fiables soumises via le champ « Informations de pied de page » sont insuffisamment assainies avant d'être traitées et rendues sur les pages frontales. Un administrateur authentifié – dont la session pourrait être compromise ou qui pourrait être victime d'ingénierie sociale – peut introduire par inadvertance du code PHP malveillant. Lors du rendu de la page frontale, ce code est exécuté dans le contexte d'exécution du serveur, permettant une compromission complète du système.

Détails de la vulnérabilité :

• Composant vulnérable : fonction decode_string() dans /apps/home/controller/ParserController.php (ligne 261)
• Cause racine : désérialisation et gestion de sortie non sécurisées – plus précisément, l'application séquentielle de stripcslashes() suivie de htmlspecialchars_decode() annule effectivement le codage des entités HTML et les séquences d'échappement, restaurant le code PHP exécutable qui est ensuite directement echoé dans la sortie du modèle sans validation ni sandboxing.
• Contexte affecté : toute page frontale utilisant la balise de modèle {pboot:sitecopyright}.

Processus d'exploitation :

1. L'attaquant obtient un accès authentifié au backend d'administration (par exemple via réutilisation d'identifiants, détournement de session ou hameçonnage).
2. Navigue vers la page de configuration du site (/admin.php?p=/Site/mod).
3. Injecte une charge utile PHP malveillante dans le champ « Informations de pied de page » – par exemple :
   <?php file_put_contents('shell.php', '<?php echo "vuln"; ?>');?>
4. Soumet et enregistre la configuration.
5. Déclenche le vidage du cache des modèles (/admin.php?p=/Index/clearCache) pour garantir que le contenu mis à jour est analysé.
6. Visite toute page frontale contenant {pboot:sitecopyright}, ce qui provoque l'exécution de la charge utile injectée et l'écriture d'un web shell (shell.php) dans le répertoire racine du site Web.

Évaluation des risques :
Cette vulnérabilité présente de graves implications de sécurité, notamment (sans s'y limiter) :

• Exécution de code à distance arbitraire avec les privilèges du processus du serveur Web ;
• Compromission complète de l'environnement d'hébergement, y compris les déplacements latéraux et l'élévation de privilèges ;
• Accès non autorisé aux bases de données backend, aux fichiers de configuration et à d'autres actifs sensibles ;
• Déploiement de portes dérobées persistantes et établissement de canaux de commande et de contrôle à long terme.

Versions concernées :

• Confirmée dans PbootCMS v3.2.12.
• Toutes les versions intégrant la fonction decode_string() pour le traitement du contenu sitecopyright sont potentiellement affectées, en particulier lorsque les entrées des interfaces d'administration sont transmises sans filtre via cette routine.