CVE-2026-111619

ŚrednieCVSS 6.5

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 21/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

FilePress do wersji 3.0.1 zawiera podatność typu SQL injection, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na wstrzyknięcie SQL do klauzul ORDER BY poprzez niezwalidowany parametr asc. Atakujący może użyć ślepych podzapytań boolowskich lub czasowych w dzz/pichome/library/filelist.php i dzz/collection/filelist.php, aby wyodrębnić wiersze bazy danych, w tym hashe poświadczeń administratora.

Ocena ryzyka

Wyciek danych z bazy, w tym hashy haseł administratorów — możliwość eskalacji uprawnień i przejęcia całego systemu. Wysokie ryzyko naruszenia poufności i integralności.

Rekomendacja

Zaktualizować FilePress do wersji nowszej niż 3.0.1, gdy będzie dostępna, oraz wdrożyć walidację parametru asc i parametryzację zapytań w plikach filelist.php. Do czasu poprawki rozważyć ograniczenie uprawnień użytkowników o niskich uprawnieniach.

Inne podatności w FilePress

CVE-2026-90879Wysokie
W oprogramowaniu zyx0814 FilePress w wersji do 3.0.1 zidentyfikowano podatność. Dotyczy ona nieznanego kodu w pliku dzz/publish/search.php w komponencie Publish Module. Manipulacja argumentami orderby/order prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.

Oryginalny opis (angielski, źródło NVD)

FilePress through 3.0.1 contains an sql injection vulnerability that allows authenticated low-privilege users to inject SQL into ORDER BY clauses via the unvalidated asc parameter. Attackers can use blind boolean or time-based subqueries in dzz/pichome/library/filelist.php and dzz/collection/filelist.php to extract database rows including administrator credential hashes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS