Sanluan PublicCMS FreeMarker Template AbstractFreemarkerView.java AbstractFreemarkerView.doRender elementos especiais utilizados em um motor de template

Uma vulnerabilidade de segurança foi detectada no Sanluan PublicCMS até a versão 6.202506.d. Esta vulnerabilidade afeta a função AbstractFreemarkerView.doRender dentro do componente FreeMarker Template Handler, especificamente no arquivo publiccms-parent/publiccms-core/src/main/java/com/publiccms/common/base/AbstractFreemarkerView.java. A manipulação desta função permite a neutralização incorreta de elementos especiais usados em um motor de templates. Isso pode permitir que um atacante injete código malicioso através de templates, comprometendo potencialmente a integridade e a confidencialidade dos dados do sistema. A vulnerabilidade é explorável remotamente, o que significa que um atacante pode explorá-la sem a necessidade de acesso direto ao servidor. A divulgação pública do exploit aumenta significativamente o risco, pois facilita seu uso por agentes maliciosos.

Small to medium-sized businesses and organizations utilizing Sanluan PublicCMS for their websites or blogs are at significant risk. Those with legacy configurations or those who haven't implemented robust security practices are particularly vulnerable. Shared hosting environments using Sanluan PublicCMS are also at increased risk due to the potential for cross-site contamination.

• java / server:

find /var/log/ -name '*publiccms*' -mtime -7 | grep -i 'freemarker'

• generic web:

curl -I https://your-publiccms-site.com/ | grep -i 'Content-Type: text/html'

1. 2026-04-09Disclosure

   disclosure

1. Reservado2026-04-09
2. Publicada2026-04-09
3. Modificada2026-04-10
4. EPSS atualizado2026-04-17

Atualmente, não existe uma correção (fix) oficial fornecida pelo desenvolvedor do Sanluan PublicCMS para esta vulnerabilidade. A mitigação mais imediata é atualizar para a versão mais recente disponível do PublicCMS assim que uma correção for publicada. Enquanto isso, recomenda-se aplicar medidas de segurança adicionais, como restringir o acesso à função AbstractFreemarkerView.doRender, implementar uma validação estrita das entradas de templates para evitar a injeção de código e monitorar os registros do sistema em busca de atividades suspeitas. É crucial revisar e fortalecer as políticas de segurança do servidor para minimizar o impacto potencial de uma exploração bem-sucedida. Considere o uso de um Web Application Firewall (WAF) para filtrar o tráfego malicioso.