CVE-2026-105226

ŚrednieCVSS 4.7

Opublikowano: 05/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 05/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Podatność wstrzyknięcia kodu w osCommerce2 do wersji 2.3.4.1. Dotyczy funkcji include w pliku admin/newsletters.php w komponencie Newsletter Management, gdzie manipulacja argumentem module prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

Ocena ryzyka

Ryzyko zdalnego wykonania kodu na serwerze, co może prowadzić do pełnej kompromitacji systemu i danych klientów.

Rekomendacja

Zastosować odpowiednie filtry i walidację danych wejściowych dla argumentu module. Należy również zaktualizować system do najnowszej wersji lub zastosować dostępne poprawki.

Inne podatności w osCommerce2

CVE-2026-105225Średnie
Podatność wstrzyknięcia kodu w osCommerce2 do wersji 2.3.4.1. Dotyczy funkcji include w pliku includes/classes/payment.php w komponencie Payment Page, gdzie manipulacja argumentem MODULE_PAYMENT_INSTALLED prowadzi do wstrzyknięcia kodu. Atak może być wykonany zdalnie, a exploit jest publiczny. Projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in osCommerce osCommerce2 up to 2.3.4.1. This vulnerability affects the function include of the file admin/newsletters.php of the component Newsletter Management. Performing a manipulation of the argument module results in code injection. The attack is possible to be carried out remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS