CVE-2025-0520

KrytyczneCVSS 9.4

Opublikowano: 29/04/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

2.65%

Percentyl 85 - wyżej niż 85% wszystkich znanych CVE

Streszczenie

W ShowDoc występuje podatność nieograniczonego przesyłania plików spowodowana niewłaściwą walidacją rozszerzenia pliku, co pozwala na wykonanie dowolnego kodu PHP i zdalne wykonanie kodu. Problem dotyczy wersji przed 2.8.7.

Ocena ryzyka

Atakujący może przesłać i wykonać złośliwy kod PHP, co prowadzi do przejęcia serwera i dostępu do danych.

Rekomendacja

Zaktualizuj ShowDoc do wersji 2.8.7 lub nowszej i zweryfikuj mechanizmy walidacji przesyłanych plików.

Inne podatności w ShowDoc

CVE-2026-86644Niskie
Podatność w star7th showdoc do wersji 3.9.1 dotyczy nieznanego kodu w pliku web_src/public/editor.md/editormd.js komponentu API Page Save Endpoint. Manipulacja może prowadzić do cross-site scripting. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Aktualizacja do wersji 3.9.2 rozwiązuje problem. Poprawka ustawia Mermaid 'securityLevel' na 'strict', wyłącza 'htmlLabels' i sanityzuje renderowany SVG za pomocą DOMPurify.

Oryginalny opis (angielski, źródło NVD)

An unrestricted file upload vulnerability in ShowDoc caused by improper validation of file extension allows execution of arbitrary PHP, leading to remote code execution.This issue affects ShowDoc: before 2.8.7.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS