CVE-2026-114253
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W oprogramowaniu oretnom23 file-management-system-php do wersji 2e3c1ebe60f121e8df4fb3f544f0e9591d9a01e4 wykryto podatność w funkcji include w pliku index.php. Manipulacja argumentem page może prowadzić do włączenia pliku. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony i może być wykorzystany. Produkt działa w modelu rolling release, więc brak szczegółów wersji.
Ocena ryzyka
Zdalny atakujący może włączyć dowolne pliki, co może prowadzić do wykonania kodu lub ujawnienia informacji.
Rekomendacja
Zaktualizuj oprogramowanie do najnowszej wersji, jeśli dostępna, i ogranicz dostęp do aplikacji.
Inne podatności w file-management-system-php
Zobacz wszystkie- CVE-2026-114260Średnie
W projekcie oretnom23 file-management-system-php (do wersji 2e3c1ebe60f121e8df4fb3f544f0e9591d9a01e4) funkcja delete_folder w pliku ajax.php (komponent AJAX Handler) nie wymaga uwierzytelnienia przy manipulacji argumentem ID. Podatność można wykorzystać zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-114259Wysokie
W projekcie oretnom23 file-management-system-php (do commita 2e3c1ebe60f121e8df4fb3f544f0e9591d9a01e4) funkcja save_files w pliku admin_class.php pozwala na nieograniczone przesyłanie plików poprzez manipulację argumentem Upload. Podatność została publicznie ujawniona i może być wykorzystana zdalnie.
- CVE-2026-114257Wysokie
W projekcie oretnom23 file-management-system-php wykryto podatność SQL injection w funkcji readfile w pliku download.php, wynikającą z manipulacji argumentem ID. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-114256Wysokie
W systemie file-management-system-php wykryto podatność SQL Injection w funkcjach save_folder, delete_folder, delete_file, file_rename i save_files w pliku admin_class.php (komponent Folder Management). Manipulacja argumentami name/parent_id/id/type/folder_id/description pozwala na wstrzyknięcie kodu SQL. Podatność można wykorzystać zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-114254Wysokie
W oprogramowaniu oretnom23 file-management-system-php do wersji 2e3c1ebe60f121e8df4fb3f544f0e9591d9a01e4 występuje podatność SQL injection w funkcji Login w pliku admin_class.php. Manipulacja argumentami username/password prowadzi do wstrzyknięcia SQL. Zdalna eksploatacja jest możliwa, a exploit jest publicznie dostępny i może być wykorzystany. Produkt jest rozwijany w modelu rolling release, więc szczegóły wersji nie są podane. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in oretnom23 file-management-system-php up to 2e3c1ebe60f121e8df4fb3f544f0e9591d9a01e4. The impacted element is the function include of the file index.php. Executing a manipulation of the argument page can lead to file inclusion. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS