CVE-2005-0565
WysokieStreszczenie
Moduł Announce w phpWebSite w wersji 0.10.0 i wcześniejszych pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez ustawienie pola Obraz na odniesienie do pliku PHP, którego nazwa zawiera rozszerzenie .gif.php.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego uruchamiania kodu, co może prowadzić do przejęcia kontroli nad serwerem oraz wycieku danych.
Rekomendacja
Zaleca się aktualizację phpWebSite do najnowszej wersji oraz monitorowanie i ograniczenie dostępu do modułu Announce.
Powiązane podatności
- CVE-2026-114625Krytyczne
W on-prem wersji VeloCloud Orchestrator (VCO) występuje luka w zabezpieczeniach, która może pozwolić zdalnemu atakującemu na dostęp do uprzywilejowanej wewnętrznej funkcjonalności i wpłynięcie na host VCO. Każdy uwierzytelniony użytkownik może uzyskać uprawnienia operatora i podszyć się pod lokalnego użytkownika "superuser operator", uzyskując dostęp do funkcji przeznaczonych wyłącznie do użytku wewnętrznego, które nie powinny być dostępne zdalnie.
- CVE-2026-79876Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79875Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79874Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79873Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79872Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79871Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79870Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79869Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
- CVE-2026-79868Krytyczne
Brak opisu podatności w dostarczonych danych NVD. Nie można określić szczegółów technicznych ani dotkniętego komponentu na podstawie dostępnych informacji.
Oryginalny opis (angielski, źródło NVD)
The Announce module in phpWebSite 0.10.0 and earlier allows remote attackers to execute arbitrary PHP code by setting the Image field to reference a PHP file whose name contains a .gif.php extension.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS