CVE-2026-108688
ŚrednieCVSS 4.3Streszczenie
Podatność braku autoryzacji w Eladmin do wersji 2.7 w obsłudze uploadPicture w LocalStorageController pozwala użytkownikom z niskimi uprawnieniami na obejście uprawnienia storage:add. Atakujący mogą wysyłać żądania POST z plikami o nazwach obrazów do /api/localStorage/pictures, aby zapisywać pliki w lokalnej pamięci serwera i ujawniać bezwzględne ścieżki serwera.
Ocena ryzyka
Ryzyko nieautoryzowanego zapisu plików na serwerze oraz ujawnienia ścieżek systemowych, co może ułatwić dalsze ataki i naruszyć integralność systemu.
Rekomendacja
Zaktualizuj Eladmin do wersji z poprawką. Dodatkowo wzmocnij kontrolę dostępu w LocalStorageController, aby wymagać odpowiednich uprawnień dla operacji upload.
Inne podatności w Eladmin
Zobacz wszystkie- CVE-2026-108706Średnie
eladmin do commita 55fbf70 zawiera podatność braku autoryzacji w handlerze downloadS3Storage, która pozwala każdemu uwierzytelnionemu użytkownikowi pobierać adresy URL przechowywanych obiektów bez uprawnień do magazynu. Atakujący może enumerować kolejne identyfikatory w żądaniach GET /api/s3Storage/download/{id}, aby zebrać adresy URL wszystkich przesłanych obiektów, ujawniając zawartość plików w publicznie czytelnych bucketach.
- CVE-2026-77036Średnie
W projekcie elunez eladmin do wersji 2.7 znaleziono podatność dotyczącą funkcji EmailController, AliPayController, GeneratorController i GenConfigController. Manipulacja prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Projekt został poinformowany o problemie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-10550Średnie
W aplikacji eladmin do wersji 2.7 wykryto podatność na wstrzykiwanie poleceń w komponencie Application Deployment Module. Atak polega na manipulacji argumentem uploadPath w pliku App.java i może być przeprowadzony zdalnie. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Eladmin through 2.7 contains a missing authorization vulnerability in the LocalStorageController uploadPicture handler that allows low-privileged authenticated users to bypass the storage:add permission. Attackers can send POST requests with image-named files to /api/localStorage/pictures to write files into server local storage and disclose absolute server paths.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS