CVE-2026-44262
严重已发布
Scramble：通过对验证规则中用户可控输入的求值实现远程代码执行
- 已发布
- 2026年5月12日
- 已更新
- 2026年5月13日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年5月27日
初级CVSS
9.4/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L5.9%
低 · 未来 30 天
- 百分位
- 92.9%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Scramble 为 Laravel 项目生成 API 文档。在 0.13.2 至 0.13.22 之前的版本中，当文档端点可公开访问且验证规则引用用户控制的输入时，请求提供的数据可能会在文档生成期间被评估，从而导致在应用程序上下文中执行任意 PHP 代码。该漏洞已在 0.13.22 中修复。
来源
3- CVE-2026-44262漏洞利用
dedoc/scramble 中的未认证 RCE — PoC、Nmap NSE 与 Nuclei 模板。
CVE-2026-44262 的仓库，提供所识别漏洞的详细信息及潜在的概念验证（PoC）代码。
joshua · php · 2026年5月27日
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。