CVE-2023-25135: vbulletin

csirt@kutim:~/threat-intel/cve/CVE-2023-25135

CVSS 9.8 · Critical EPSS 23,9%

Kerentanan Deserialization of Untrusted Data pada vbulletin. Skor CVSS 3.1 9.8 (Critical) menurut NVD.

Deskripsi (NVD)

vBulletin before 5.6.9 PL1 allows an unauthenticated remote attacker to execute arbitrary code via a crafted HTTP request that triggers deserialization. This occurs because verify_serialized checks that a value is serialized by calling unserialize and then checking for errors. The fixed versions are 5.6.7 PL1, 5.6.8 PL1, and 5.6.9 PL1.

Rincian

Terbit di NVD: 3 Februari 2023
Terakhir diubah: 17 Juni 2026
Status NVD: Modified
CVSS 3.1: 9.8 (Critical), sumber NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H · uraikan di kalkulator
Jenis kelemahan (CWE): CWE-502: Deserialization of Untrusted Data
EPSS (30 hari): 23,9% peluang dieksploitasi; lebih tinggi dari 97,7% CVE lain

Produk dan versi terdampak

Vendor	Produk	Versi terdampak
vbulletin	vbulletin	Versi 5.6.7
vbulletin	vbulletin	Versi 5.6.8
vbulletin	vbulletin	Versi 5.6.9

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

https://forum.vbulletin.com/forum/vbulletin-announcements/vbulletin-announcements_aa/4473890-vbulletin-5-6-9-s... release notes · advisory vendor
https://www.ambionics.io/blog/vbulletin-unserializable-but-unreachable exploit · deskripsi teknis · advisory pihak ketiga

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:10 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.