CVE-2026-10072
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
DreamMaker firmy Interinfo zawiera podatność umożliwiającą dowolne przesyłanie plików, co pozwala uprzywilejowanym zdalnym atakującym na wgranie i wykonanie backdoora typu web shell, prowadząc do wykonania dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko polega na całkowitym przejęciu kontroli nad serwerem przez atakującego, co może skutkować kradzieżą danych, instalacją złośliwego oprogramowania lub dalszym atakiem na infrastrukturę.
Rekomendacja
Należy natychmiast zaktualizować DreamMaker do najnowszej wersji, wdrożyć walidację typów plików oraz ograniczyć uprawnienia do przesyłania plików tylko dla zaufanych użytkowników.
Inne podatności w DreamMaker
Zobacz wszystkie- CVE-2026-10071Krytyczne
Produkt DreamMaker firmy Interinfo zawiera podatność umożliwiającą nieuwierzytelnionym zdalnym atakującym przesyłanie dowolnych plików, w tym backdoorów typu web shell, co prowadzi do wykonania dowolnego kodu na serwerze.
- CVE-2026-85541Średnie
DreamMaker firmy Interinfo zawiera podatność Reflected Cross-site Scripting. Zautentykowani zdalni atakujący mogą wykonać dowolny kod JavaScript w przeglądarce użytkownika za pomocą złośliwej strony internetowej.
- CVE-2026-85540Wysokie
DreamMaker opracowany przez Interinfo ma podatność SQL Injection. Uwierzytelnieni zdalni atakujący mogą wstrzykiwać dowolne polecenia SQL w celu odczytu, modyfikacji i usunięcia zawartości bazy danych.
- CVE-2026-10075Średnie
W produkcie DreamMaker firmy Interinfo wykryto podatność Path Traversal, która pozwala nieuwierzytelnionym zdalnym atakującym na odczyt nazw plików w dowolnej ścieżce poprzez wykorzystanie Absolute Path Traversal.
- CVE-2026-10074Średnie
DreamMaker od Interinfo ma lukę Arbitrary File Read, umożliwiającą uprzywilejowanym lokalnym atakującym wykorzystanie Relative Path Traversal do pobrania dowolnych plików systemowych.
- CVE-2026-10073Wysokie
Podatność w oprogramowaniu DreamMaker firmy Interinfo umożliwia nieuwierzytelnionym lokalnym atakującym odczyt dowolnych plików systemowych poprzez wykorzystanie trawersowania ścieżek względnych.
Oryginalny opis (angielski, źródło NVD)
DreamMaker developed by Interinfo has an Arbitrary File Upload vulnerability, allowing privileged remote attackers to upload and execute web shell backdoors, thereby enabling arbitrary code execution on the server.