CVE-2024-58295

WysokieCVSS 8.6

Opublikowano: 11/12/2025(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.56%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

ElkArte Forum 1.1.9 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom na przesyłanie złośliwych plików PHP poprzez proces instalacji motywu. Atakujący może przesłać archiwum ZIP z plikiem PHP zawierającym polecenia systemowe, które następnie mogą zostać wykonane poprzez dostęp do przesłanego pliku w katalogu motywu.

Ocena ryzyka

Uwierzytelniony administrator może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu i naruszenia poufności, integralności oraz dostępności danych.

Rekomendacja

Zaktualizuj ElkArte Forum do wersji nowszej niż 1.1.9, ogranicz uprawnienia administracyjne oraz weryfikuj przesyłane archiwa motywów pod kątem złośliwych plików PHP.

Inne podatności w ElkArte Forum

CVE-2026-72553Średnie
Podatność na trwały atak XSS w ElkArte Forum 2.0 Beta 1 pozwala każdemu zarejestrowanemu członkowi na wstrzyknięcie trwałego JavaScriptu do pól profilu cust_blurb i cust_locate. Pola są zapisywane bez kodowania HTML i renderowane bez escapowania w widokach profilu widocznych dla administratorów. Atakujący może wykonać kod w sesji administratora, co umożliwia przejęcie sesji lub eskalację uprawnień.

Oryginalny opis (angielski, źródło NVD)

ElkArte Forum 1.1.9 contains a remote code execution vulnerability that allows authenticated administrators to upload malicious PHP files through the theme installation process. Attackers can upload a ZIP archive with a PHP file containing system commands, which can then be executed by accessing the uploaded file in the theme directory.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS