CVE-2024-31823
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Podatność w Ecommerce-CodeIgniter-Bootstrap pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez metodę removeSecondaryImage w komponencie Publish.php.
Ocena ryzyka
Atakujący może przejąć kontrolę nad aplikacją e-commerce, co może prowadzić do kradzieży danych, modyfikacji treści lub całkowitego przejęcia serwera.
Rekomendacja
Zastosuj poprawkę od producenta lub zaktualizuj oprogramowanie do najnowszej wersji, która usuwa tę podatność.
Inne podatności w Ecommerce-CodeIgniter-Bootstrap
Zobacz wszystkie- CVE-2026-14637Wysokie
W bibliotece Ecommerce-CodeIgniter-Bootstrap wykryto podatność polegającą na deserializacji w funkcji getCartItems pliku ShoppingCart.php. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem shopping_cart. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
- CVE-2026-14636Średnie
W komponencie Vendor Image Manager w Ecommerce-CodeIgniter-Bootstrap wykryto podatność na path traversal. Funkcja do_upload_others_images w pliku AddProduct.php pozwala na manipulację argumentem folder, co umożliwia zdalne odczytywanie plików poza dozwolonym katalogiem.
- CVE-2026-14635Wysokie
W Ecommerce-CodeIgniter-Bootstrap do wersji 222ff31c06687b1c6d0e1ab63953f82c3674c52b wykryto podatność na manipulację ścieżką (path traversal) w pliku AddProduct.php komponentu Vendor Multi-Image Endpoint. Atakujący może zdalnie zmienić argument folder, co prowadzi do nieautoryzowanego dostępu do plików. Exploit został opublikowany i może być wykorzystywany w atakach.
- CVE-2026-14634Średnie
W kirilkirkov Ecommerce-CodeIgniter-Bootstrap do wersji 213babdbaa949e94557246414db0130e01394517 stwierdzono podatność na atak XSS w funkcji checkForPostRequests pliku application/core/MY_Controller.php. Manipulacja argumentem User-Agent umożliwia zdalne wykonanie skryptu.
- CVE-2026-14633Średnie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 49b20f53 stwierdzono podatność na atak XSS w ukrytym punkcie końcowym REST API. Manipulacja argumentami title/description w pliku /index.php/api/product/set umożliwia zdalne wykonanie skryptów krzyżowych.
- CVE-2026-14632Średnie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 95dfa8cebbb87ab46ae450643a07241274a74dce wykryto podatność w funkcji setReferrer pliku application/core/MY_Controller.php. Manipulacja argumentem href prowadzi do otwartego przekierowania (open redirect), które może być zdalnie wykorzystane.
Oryginalny opis (angielski, źródło NVD)
An issue in Ecommerce-CodeIgniter-Bootstrap commit v. d22b54e8915f167a135046ceb857caaf8479c4da allows a remote attacker to execute arbitrary code via the removeSecondaryImage method of the Publish.php component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS