CVE-2025-65473
KrytyczneStreszczenie
W komponencie /admin/filer.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym z uprawnieniami administratora na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do nazwy przesyłanego pliku.
Ocena ryzyka
Ryzyko wykonania dowolnego kodu na serwerze przez administratora, co może prowadzić do pełnego przejęcia systemu i naruszenia integralności danych.
Rekomendacja
Zaleca się aktualizację EasyImages do najnowszej wersji oraz regularne przeglądanie uprawnień administratorów.
Inne podatności w EasyImages
Zobacz wszystkie- CVE-2025-65474Krytyczne
W komponencie /admin/manager.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym na wykonanie dowolnego kodu poprzez zmianę nazwy pliku PHP na format SVG.
- CVE-2023-33599Średnie
EasyImages w wersjach do 2.8.1 jest podatny na atak Cross Site Scripting (XSS) poprzez plik viewlog.php.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file rename vulnerability in the /admin/filer.php component of EasyImages 2.0 v2.8.6 and below allows attackers with Administrator privileges to execute arbitrary code via injecting a crafted payload into an uploaded file name.