CVE-2026-111687

KrytyczneCVSS 9.8

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Streszczenie

WeRSS (we-mp-rss) do wersji 1.5.3 zawiera lukę zdalnego wykonania kodu, która pozwala nieuwierzytelnionym atakującym uruchomić kod poprzez parametr template publicznego endpointu GET /rss/{feed_id}. Atakujący może podać niebędącą wbudowaną wartość ext oraz szablon {{=expression}}, którego przechodzenie po podklasach obiektów omija listę zabronionych eval, aby wykonać polecenia systemowe jako konto usługi.

Ocena ryzyka

Luka umożliwia nieuwierzytelnionym atakującym zdalne wykonanie dowolnego kodu na serwerze, co może skutkować pełnym przejęciem hosta i naruszeniem danych. Ryzyko jest krytyczne, ponieważ endpoint jest publiczny.

Rekomendacja

Należy jak najszybciej zaktualizować WeRSS do wersji zawierającej poprawkę lub wyłączyć publiczny endpoint /rss/{feed_id}. Zaleca się również ograniczenie uprawnień konta usługi i monitorowanie nietypowych poleceń.

Inne podatności w WeRSS

CVE-2025-13174Średnie
W aplikacji rachelos WeRSS we-mp-rss (wersje do 1.4.7) wykryto podatność w funkcji do_job w pliku jobs/mps.py w module Webhook. Manipulacja argumentem web_hook_url prowadzi do ataku Server-Side Request Forgery. Exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

WeRSS (we-mp-rss) through 1.5.3 contains a remote code execution vulnerability that allows unauthenticated attackers to run code via the template parameter of the public GET /rss/{feed_id} endpoint. Attackers can supply a non-built-in ext value and a {{=expression}} template whose object-subclass traversal bypasses the eval denylist to run OS commands as the service account.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS