¿Qué es la vulnerabilidad?
El CVE-2026-61511 es una vulnerabilidad crítica de inyección de código en el método vB5_Template_Runtime::runMaths() de vBulletin. Permite a atacantes remotos no autenticados ejecutar código PHP arbitrario mediante la manipulación del parámetro pagenav[pagenumber] en la ruta ajax/render.
Productos y versiones afectadas
- vBulletin 5.x hasta la versión 5.7.5
- vBulletin 6.x hasta la versión 6.2.1
Impacto y explotación
La vulnerabilidad tiene un CVSS de 9.8 (crítico) y se clasifica como CWE-95 (eval injection). Los atacantes pueden evadir el filtro regex insuficientemente restrictivo usando codificación estilo phpfuck con caracteres permitidos para inyectar código.
Existen 4 pruebas de concepto públicas en GitHub, y el EPSS indica un 74.3% de probabilidad de explotación real en los próximos 30 días (percentil 99%). Sin embargo, Shodan no reporta hosts expuestos actualmente, y aún no hay confirmación de explotación activa en la naturaleza.
| CVE | CVE-2026-61511 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 74.3% en 30 días (percentil 100) |
| CWE | CWE-95 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com, github.com, github.com |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).