CVE-2005-3404
WysokieStreszczenie
Wielokrotne podatności na włączenie plików w ATutor w wersjach od 1.4.1 do 1.5.1-pl1 umożliwiają zdalnym atakującym dołączenie dowolnych plików poprzez parametr section zakończony bajtem zerowym (%00) w plikach body_header.inc.php oraz print.php.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do wrażliwych danych na serwerze, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację ATutor do najnowszej wersji, aby usunąć te podatności oraz wdrożenie dodatkowych środków zabezpieczających, takich jak filtrowanie danych wejściowych.
Powiązane podatności
- CVE-2026-57116Krytyczne
W PraisonAI od wersji 4.2.1 do przed 4.6.59 powierzchnia wdrożeniowa AgentOS oparta na FastAPI pozostaje nieuwierzytelniona, mimo wcześniejszej poprawki dla CVE-2026-40151. Trasa czatu bezpośrednio wywołuje agent.chat(request.message), a żądania bez uwierzytelnienia lub z błędnym tokenem bearer również uruchamiają wdrożonego agenta.
- CVE-2026-112859Krytyczne
Motyw WordPress Little Birdies zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.3.16.
- CVE-2026-112858Krytyczne
Motyw WordPress Rhodos zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.3.3.
- CVE-2026-112857Krytyczne
Motyw WordPress Reprizo zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.0.8.
- CVE-2026-112856Krytyczne
Motyw WordPress Vagabonds zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.3.10.
- CVE-2026-112855Krytyczne
Motyw WordPress Redy zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.3.5.
- CVE-2026-112854Krytyczne
Motyw WordPress Holistic Center zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.2.6.
- CVE-2026-112853Krytyczne
Motyw WordPress Hallelujah zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.1.1.
- CVE-2026-112851Krytyczne
Motyw WordPress HotLock zawiera podatność deserializacji niezaufanych danych umożliwiającą wstrzyknięcie obiektu. Problem dotyczy wersji od n/a do 1.3.9.
- CVE-2026-112848Krytyczne
Podatność deserializacji niezaufanych danych w motywie WordPress Hostme v2 (AivahThemes) umożliwia atakującemu wstrzyknięcie obiektów (Object Injection). Problem dotyczy wersji od początku do 7.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
Multiple PHP file inclusion vulnerabilities in ATutor 1.4.1 through 1.5.1-pl1 allow remote attackers to include arbitrary files via the section parameter followed by a null byte (%00) in (1) body_header.inc.php and (2) print.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS