CVE-2025-11016
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W kalcaddle kodbox do wersji 1.61.09 wykryto podatność na path traversal w funkcji fileOut w pliku app/controller/explorer/index.class.php. Manipulacja argumentem path umożliwia zdalny atak. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może wykorzystać podatność do odczytu lub zapisu dowolnych plików na serwerze, co może prowadzić do ujawnienia poufnych danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się natychmiastowe zastosowanie dostępnych poprawek lub tymczasowe wyłączenie funkcji dotkniętej podatnością. Należy również monitorować logi pod kątem podejrzanych żądań.
Inne podatności w kodbox
Zobacz wszystkie- CVE-2026-18721Średnie
W kalcaddle kodbox 1.67 Build 02 znaleziono podatność w pliku /user/sso/apiLogin komponentu SSO API Login. Manipulacja argumentem callbackUrl prowadzi do otwartego przekierowania (open redirect). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-5618Średnie
W projekcie kodbox do wersji 1.64 wykryto podatność SSRF (Server-Side Request Forgery) w komponencie shareMake/shareCheck. Manipulacja argumentami siteFrom/siteTo umożliwia wykonanie żądania po stronie serwera. Atak jest możliwy zdalnie, ale jest trudny do przeprowadzenia. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
- CVE-2024-51037Średnie
Podatność w kodbox w wersji 1.52.04 i wcześniejszych umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez funkcję captcha w mechanizmie resetowania hasła.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in kalcaddle kodbox up to 1.61.09. The affected element is the function fileOut of the file app/controller/explorer/index.class.php. Such manipulation of the argument path leads to path traversal. The attack may be performed from remote. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS