CVE-2026-108101
WysokieCVSS 7.5Streszczenie
HortusFox (hortusfox-web) do wersji 6.3 zawiera podatność nieograniczonego przesyłania plików w PlantAttachmentModel, która pozwala uwierzytelnionym użytkownikom przechowywać pliki z rozszerzeniami dostarczonymi przez klienta w public/attachments/. Atakujący mogą przesyłać pliki HTML lub SVG przez /plants/attachments/add w celu przechowywanego cross-site scripting lub pliki PHP, gdy .htaccess nie jest egzekwowany, w celu wykonania kodu.
Ocena ryzyka
Uwierzytelniony atakujący może przeprowadzić atak XSS lub zdalne wykonanie kodu, przejmując sesje użytkowników lub kontrolę nad serwerem. Stanowi to poważne zagrożenie dla bezpieczeństwa aplikacji.
Rekomendacja
Zaktualizuj HortusFox do wersji nowszej niż 6.3. Ogranicz typy przesyłanych plików i wymuszaj reguły .htaccess na serwerze.
Inne podatności w HortusFox
Zobacz wszystkie- CVE-2026-108100Średnie
HortusFox (hortusfox-web) przed wersją 6.2 zawiera podatność na wstrzykiwanie SQL, która pozwala posiadaczom tokenów API na wstrzykiwanie SQL poprzez dostarczenie spreparowanych wartości include_info do punktu końcowego /api/locations/list. Atakujący mogą umieścić podzapytania w include_info, które PlantsModel::getSpecificInfo() konkatenuje do listy kolumn, aby odczytać dowolną tabelę bazy danych, w tym hasła użytkowników.
- CVE-2026-104069Wysokie
HortusFox przed wersją 6.2 zawiera podatność na zdalne wykonanie kodu w metodzie ThemeModule::startImport(), gdzie przesłane archiwum ZIP jest rozpakowywane bezpośrednio do publicznego katalogu głównego serwera WWW przed jakąkolwiek walidacją nazw plików, rozszerzeń lub zawartości. Uwierzytelniony administrator może przesłać spreparowane archiwum motywu zawierające plik PHP i plik .htaccess, aby ponownie włączyć wykonywanie, a następnie zażądać go w katalogu motywów, co pozwala na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW.
- CVE-2026-72559Średnie
Podatność na trwały atak XSS w HortusFox 5.9 pozwala uwierzytelnionym członkom przestrzeni roboczej na wstrzyknięcie trwałego JavaScriptu do notatek roślin przez Parsedown renderowany bez trybu bezpiecznego. Notatki są renderowane bez escapowania w przeglądarce każdego użytkownika, który widzi daną roślinę. Atakujący może ukraść ciasteczka sesji lub wykonywać działania w kontekście innych użytkowników, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
HortusFox (hortusfox-web) through 6.3 contains an unrestricted file upload vulnerability in PlantAttachmentModel that allows authenticated users to store files with client-supplied extensions under public/attachments/. Attackers can upload HTML or SVG files via /plants/attachments/add for stored cross-site scripting, or PHP files where .htaccess is unenforced to execute code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS