CVE-2021-47936
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
OpenCATS 0.9.4 zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych poleceń poprzez przesyłanie złośliwych plików PHP udających załączniki CV.
Ocena ryzyka
Atakujący może w pełni przejąć kontrolę nad serwerem, uzyskując dostęp do danych i możliwość dalszego ataku na infrastrukturę.
Rekomendacja
Zaleca się natychmiastową aktualizację do najnowszej wersji OpenCATS oraz wdrożenie walidacji typów plików przy przesyłaniu.
Inne podatności w OpenCATS
Zobacz wszystkie- CVE-2026-27760Wysokie
OpenCATS przed commit 3002a29 zawiera podatność na wstrzykiwanie kodu PHP w punkcie końcowym AJAX instalatora, umożliwiającą nieuwierzytelnionym atakującym wykonanie dowolnego kodu poprzez wstrzyknięcie instrukcji PHP do parametru akcji databaseConnectivity. Atakujący mogą wyłamać się z kontekstu stringa define() w config.php za pomocą pojedynczego cudzysłowu i separatora instrukcji, aby wstrzyknąć złośliwy kod PHP, który utrzymuje się i wykonuje przy każdym kolejnym ładowaniu strony, gdy kreator instalacji pozostaje nieukończony.
- CVE-2026-49490Wysokie
OpenCATS od wersji 0.9.1a zawiera podatność SQL injection w obsłudze filtrów DataGrid, która pozwala uwierzytelnionym atakującym wstrzykiwać SQL przez spreparowane filtry celujące w kolumnę Tags w DataGrid kandydatów. Atakujący mogą ominąć ograniczenia filtrowania kolumn, manipulując żądaniami filtrów, aby wykonać dowolne zapytania SQL w bazie danych.
- CVE-2026-49489Wysokie
OpenCATS do wersji 0.9.7.4 zawiera podatność na wstrzykiwanie SQL w parametrze sortDirection komponentu DataGrid. Uwierzytelnieni użytkownicy mogą wstrzykiwać złośliwy kod SQL przez parametr sortDirection w pliku ajax/getDataGridPager.php, przeprowadzając ataki typu time-based blind injection i odczytując wrażliwe dane z bazy.
Oryginalny opis (angielski, źródło NVD)
OpenCATS 0.9.4 contains a remote code execution vulnerability that allows unauthenticated attackers to execute arbitrary commands by uploading malicious PHP files disguised as resume attachments. Attackers can upload PHP payloads through the careers job application endpoint and execute system commands via POST requests to the uploaded file in the upload directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS