检测

vBulletin 5.0.x <= 5.7.5 / 6.x <= 6.2.1 远程代码执行

critical Web App Scanning 插件 ID 115347

语言：

简介

vBulletin 5.0.x <= 5.7.5 / 6.x <= 6.2.1 远程代码执行

描述

vBulletin 5.0.x <= 5.7.5 and 6.x <= 6.2.1 在模板运行时间内的 vB5_Template_Runtime::runMaths() 方法中含有一个 eval 注入漏洞，允许未经认证的远程攻击者通过 pagenav[pagenumber] 参数提供构建的输入，进而执行任意 PHP 代码。

解决方案

升级至 vBulletin 版本 6.1.6 Patch Level 1 或 6.2.0 Patch Level 1 或 6.2.1 Patch Level 1 或更高版本。

另见

https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4509358-security-patch-released-for-vbulletin-6-2-1-6-2-0-and-6-1-6

https://karmainsecurity.com/KIS-2026-13

插件详情

严重性: Critical

ID: 115347

类型: Check Based

发布时间: 2025/6/4

最近更新时间: 2026/8/5

扫描模板: basic, full, pci, scan

风险信息

VPR

风险因素: High

分数: 7.7

百分位: 99.03

CVSS v2

风险因素: Critical

基本分数: 10

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 分数来源: CVE-2026-61511

CVSS v3

风险因素: Critical

基本分数: 9.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS 分数来源: CVE-2026-61511

CVSS v4

风险因素: Critical

Base Score: 9.3

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVSS 分数来源: CVE-2026-61511

漏洞信息

CPE: cpe:2.3:a:vbulletin:vbulletin:*:*:*:*:*:*:*:*

可利用: true

易利用性: Exploits are available

补丁发布日期: 2026/6/30

漏洞发布日期: 2026/7/26

参考资料信息

CVE: CVE-2026-61511