Smarty: Code-Injection durch Fälschung des Nocache-Hashs bei extends-Vererbung

Zusammenfassung

Smarty, eine PHP-Template-Engine, stellt den obersten Nocache-Hash bei Templates mit extends:- oder Multi-Komponenten-Vererbung nicht wieder her. Ein Angreifer, der zugewiesene Template-Daten mit einem gefälschten Nocache-Marker liefern kann, kann beliebigen PHP-Code in die neu erzeugte Cache-Datei einschleusen, der beim nächsten Include ausgeführt wird. Die Schwachstelle setzt Caching, Vererbung und vom Benutzer gelieferte Werte voraus, die unescaped ausgegeben werden; die Standardausgabe ist unescaped.

Betroffen

• Smarty vor 4.5.8
• Smarty 5.x vor 5.8.5
• Smarty 3.x: unbekannt, keine Herstelleraussage; Scanner melden 3.1.39, und der Bereich im CVE-Eintrag beginnt bei 0, daher als potenziell betroffen behandeln

Behoben in

• Smarty 4.5.8
• Smarty 5.8.5
• Pakete von Linux-Distributionen: unbekannt, Status bei Ihrer Distribution prüfen

Umgehung

Unbekannt. Es ist keine Workaround-Massnahme des Herstellers dokumentiert; das Einspielen des Patches ist die einzige bestätigte Behebung.

Ausnutzung

• Öffentlicher Proof of Concept: ja, auf GitHub und in Exploit-Aggregatoren verfügbar
• Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden; nicht gegen den CISA-KEV-Katalog verifiziert
• CISA SSVC: Exploitation poc, Automatable no, Technical Impact total

Unsere Empfehlung

• Inventarisieren Sie PHP-Anwendungen, die Smarty verwenden, einschliesslich eingebundener Kopien in Shop-, CMS- oder Web-Software
• Aktualisieren Sie Smarty auf 4.5.8 oder 5.8.5 oder fragen Sie Ihren Softwareanbieter nach der gepatchten Version
• Leeren Sie nach dem Patchen die Compile- und Cache-Verzeichnisse und prüfen Sie Cache-Dateien auf unerwarteten PHP-Code
• Beschränken Sie den Schreibzugriff auf die Smarty-Compile- und Cache-Verzeichnisse
• Eskalieren Sie sofort, falls ein betroffenes System aus dem Internet erreichbar ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-82531

Quellen der Recherche

• Fix commit 1cba51c github.com
• Fix commit c0fdd48 github.com
• Smarty release 4.5.8 github.com
• Smarty release 5.8.5 github.com
• GitHub Security Advisory GHSA-3w63-v7pm-cq9x github.com
• VulnCheck advisory www.vulncheck.com
• Public PoC on GitHub github.com
• Ubuntu security tracker ubuntu.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:52.