CVE-2021-47938

WysokieCVSS 8.8

Opublikowano: 10/05/2026(UTC)Zaktualizowano: 25/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

ImpressCMS 1.4.2 zawiera podatność na zdalne wykonanie kodu w interfejsie administracyjnym autotasks, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP poprzez wstrzyknięcie złośliwego kodu do parametru sat_code. Atakujący może uwierzytelnić się, wysłać żądanie POST do /modules/system/admin.php?fct=autotasks&op=mod z spreparowanym sat_code zawierającym polecenia PHP, co tworzy plik wykonywalny akceptujący dowolne polecenia przez parametry GET.

Ocena ryzyka

Organizacja narażona jest na całkowite przejęcie serwera przez uwierzytelnionego atakującego, który może wykonywać dowolne polecenia systemowe, co prowadzi do utraty poufności, integralności i dostępności danych.

Rekomendacja

Należy natychmiast zaktualizować ImpressCMS do najnowszej wersji oraz ograniczyć dostęp do interfejsu administracyjnego autotasks tylko do zaufanych administratorów.

Inne podatności w ImpressCMS

CVE-2026-73679Wysokie
ImpressCMS zawiera uwierzytelnioną podatność na zdalne wykonanie kodu w module niestandardowych tagów, która pozwala uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez przechowywanie złośliwego ładunku w niestandardowym tagu z włączonym typem PHP. Aplikacja dekoduje treść zakodowaną w HTML przez undoHtmlSpecialChars() przed przekazaniem jej do eval() w metodzie renderWithPhp(), omijając sanityzację HTML Purifier, a ładunek jest wyzwalany przy każdym ładowaniu strony frontendowej przez system zdarzeń preload.

Oryginalny opis (angielski, źródło NVD)

ImpressCMS 1.4.2 contains a remote code execution vulnerability in the autotasks administrative interface that allows authenticated attackers to execute arbitrary PHP code by injecting malicious code into the sat_code parameter. Attackers can authenticate, submit a POST request to /modules/system/admin.php?fct=autotasks&op=mod with crafted sat_code containing PHP commands, which creates an executable file that accepts arbitrary commands via GET parameters.