CVE-2026-108801

ŚrednieCVSS 6.3

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

Wada bezpieczeństwa w TinyFileManager do wersji 2.6 umożliwia nieograniczone przesyłanie plików przez funkcję move_uploaded_file w pliku tinyfilemanager.php, manipulując argumentem fullpath. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Ocena ryzyka

Zdalny atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do przejęcia kontroli nad aplikacją lub serwerem.

Rekomendacja

Zaktualizuj TinyFileManager do najnowszej wersji lub zastosuj poprawki zabezpieczające, aby uniemożliwić nieautoryzowane przesyłanie plików.

Inne podatności w TinyFileManager

CVE-2025-15138Średnie
W TinyFileManager do wersji 2.6 znaleziono podatność na przejście ścieżki (path traversal) w pliku tinyfilemanager.php. Manipulacja argumentem fullpath umożliwia zdalny atak. Wykorzystanie zostało opublikowane, a dostawca nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in prasathmani TinyFileManager up to 2.6. The impacted element is the function move_uploaded_file of the file tinyfilemanager.php. Performing a manipulation of the argument fullpath results in unrestricted upload. The attack is possible to be carried out remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS