CVE-2026-101082

ŚrednieCVSS 5.3

Opublikowano: 28/09/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 28/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 43 - wyżej niż 43% wszystkich znanych CVE

Streszczenie

Wykryto słabość w PMWeb 7.x/8.x/2025.x. Nieznane przetwarzanie w pliku downloader.aspx z argumentem FullFileName/FileName prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział.

Ocena ryzyka

Zdalny atak może umożliwić dostęp do plików poza zamierzonym katalogiem, co może prowadzić do ujawnienia danych lub dalszej kompromitacji.

Rekomendacja

Zaleca się natychmiastowe ograniczenie dostępu do downloader.aspx, wdrożenie poprawek producenta, jeśli dostępne, oraz monitorowanie logów pod kątem prób wykorzystania.

Inne podatności w PMWeb

CVE-2026-101083Średnie
Wykryto podatność w PMWeb w wersjach v7.x/v8.x/v2025.x. Nieznana funkcja w bibliotece encryptionhelper.dll prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in PMWeb 7.x/8.x/2025.x. This issue affects some unknown processing of the file downloader.aspx. This manipulation of the argument FullFileName/FileName causes path traversal. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS