CVE-2026-44377CubeCart 6.7.0之前的版本中存在严重的经过身份验证的服务器端模板注入（SSTI）漏洞。该漏洞影响电子邮件模板和文档等多个模块。由于应用程序通过Smarty模板引擎不安全地评估用户提供的输入，具有管理员权限的攻击者可利用此漏洞绕过限制，调用原生PHP函数，最终导致敏感信息泄露和完全的远程代码执行（RCE）。
该漏洞的核心在于CubeCart在处理用户输入时，直接将其传递给Smarty模板引擎进行解析，而未进行充分的过滤或沙箱限制。攻击者需要具备管理员权限才能访问受影响的模块（如Email Templates）。利用Smarty模板引擎的特性，攻击者可以构造恶意的模板语法，从而在服务器端执行任意PHP代码。具体的利用方式包括使用Smarty标签调用PHP原生函数。例如，攻击者可以使用readgzfile()读取服务器上的配置文件获取数据库凭据，或者利用error_log()将恶意的PHP代码写入服务器上的可写目录，生成Webshell。由于CVSS向量中S:C（Scope Changed），成功的利用可能导致整个服务器的沦陷，造成严重的数据泄露和系统控制权丧失。