CVE-2025-65474
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W komponencie /admin/manager.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym na wykonanie dowolnego kodu poprzez zmianę nazwy pliku PHP na format SVG.
Ocena ryzyka
Ryzyko wykonania dowolnego kodu na serwerze, co może prowadzić do pełnego przejęcia systemu i naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację EasyImages do najnowszej wersji oraz ograniczenie dostępu do panelu administracyjnego tylko dla zaufanych użytkowników.
Inne podatności w EasyImages
Zobacz wszystkie- CVE-2025-65473Krytyczne
W komponencie /admin/filer.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym z uprawnieniami administratora na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do nazwy przesyłanego pliku.
- CVE-2025-65472Wysokie
W komponencie /admin/admin.inc.php aplikacji EasyImages 2.0 w wersji 2.8.6 i starszych występuje podatność Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu eskalację uprawnień do Administratora poprzez interakcję użytkownika ze złośliwą stroną internetową.
- CVE-2025-65471Wysokie
W EasyImages w wersji 2.0 v2.8.6 i starszych występuje podatność umożliwiająca przesłanie dowolnego pliku poprzez komponent /admin/manager.php. Atakujący może przesłać spreparowany plik PHP, co prowadzi do wykonania dowolnego kodu.
- CVE-2023-33599Średnie
EasyImages w wersjach do 2.8.1 jest podatny na atak Cross Site Scripting (XSS) poprzez plik viewlog.php.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file rename vulnerability in the /admin/manager.php component of EasyImages 2.0 v2.8.6 and below allows attackers to execute arbitrary code via renaming a PHP file to a SVG format.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS