ilhomjonr/cve-2026-67595CVE-2026-67595 — Embedded malicious JavaScript (spyware) in VaahCMS 2.0.0–2.3.4 official releases. CVSS 8.1. Advisory + detection.
CVE-2026-67595に関するセキュリティアドバイザリ: VaahCMSの公式リリースに同梱された難読化JavaScriptのスパイウェアペイロード(サプライチェーン/埋め込み型悪意コードの問題)。Ilhomjon Rustamov氏によって独自に発見・報告されました。
| CVE ID | CVE-2026-67595 |
| ベンダートラッキング | PT-2026-65916 (Positive Technologies) |
| 製品 | VaahCMS — Webreinvent |
| 影響を受けるバージョン | 2.0.0 – 2.3.4 |
| 脆弱性の種類 | 埋め込み型悪意コード / 難読化JavaScriptインジェクション (CWE-506) |
| CVSS 3.1 | 8.1 (High) |
| 影響 | 認証情報の窃取、キーロギング、セッションデータの外部送信、リモート操作 |
| 研究者 | Ilhomjon Rustamov |
| 開示日 | 2026-07-29 |
| ステータス | 修正済み・公開済み |
公式のVaahCMSパッケージ(ベンダーのリリースを通じて配布されたバージョン2.0.0〜2.3.4)には、セキュリティ/OTPメールに使用されるBladeテンプレートに埋め込まれた難読化された悪意あるJavaScriptペイロードが含まれています。
このペイロードは正規のリリースに同梱されているため、影響を受けるバージョンをインストールした導入環境は、ユーザーに対して攻撃者が制御するクライアントサイドコードを静かに配信することになります。これは外部入力によって引き起こされるバグではなく、サプライチェーン侵害です。
被害者のブラウザでレンダリングされると、難読化が解除されたペイロードは次のことを行います:
MutationObserverでDOMを監視し、新しく挿入された入力要素をフックすることで、パスワードフィールドに対するキーストロークロギングを展開します。⚠️ 防御/分析目的のみ。このアドバイザリは、問題が修正され公開された後に公開されています。ペイロードを配備したり、いかなるC2インフラストラクチャにも向けたりしないでください。
2.0.0–2.3.4)を入手します。<script>ブロックを確認します。MutationObserverキーロガー、WhatsApp Webの外部送信ロジックを明らかにします。静的解析/検出ヘルパーについては、poc/を参照してください(ライブペイロードは含まれません)。
C2エンドポイントを制御する攻撃者は、影響を受けるテンプレートをレンダリングするすべてのユーザーに対して、次のことができます:
<script>を監査します。| 日付 | イベント |
|---|---|
| 2026-07-25 | 公式のVaahCMSリリースで悪意あるペイロードを特定 |
| 2026-07-2x | ベンダー/Positive Technologiesに報告 (PT-2026-65916) |
| 2026-07-29 | CVE-2026-67595公開 (CVSS 8.1) |
発見および報告: Ilhomjon Rustamov · HackTheBox · [email protected]
この資料は、脆弱性が修正され公開された後、教育および防御目的でのみ公開されています。テストを許可されていないシステムに対してこの資料を使用しないでください。