CVE-2026-116044
ŚrednieCVSS 6.3Streszczenie
Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może przesłać dowolne pliki, w tym złośliwy kod, co może prowadzić do przejęcia serwera. Publiczny exploit zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Zaktualizuj TinyFileManager do wersji nowszej niż 2.6 lub wyłącz funkcję zdalnego przesyłania plików z URL. Rozważ ograniczenie dostępu do aplikacji.
Inne podatności w TinyFileManager
Zobacz wszystkie- CVE-2026-108801Średnie
Wada bezpieczeństwa w TinyFileManager do wersji 2.6 umożliwia nieograniczone przesyłanie plików przez funkcję move_uploaded_file w pliku tinyfilemanager.php, manipulując argumentem fullpath. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-15138Średnie
W TinyFileManager do wersji 2.6 znaleziono podatność na przejście ścieżki (path traversal) w pliku tinyfilemanager.php. Manipulacja argumentem fullpath umożliwia zdalny atak. Wykorzystanie zostało opublikowane, a dostawca nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in prasathmani TinyFileManager up to 2.6. Affected by this issue is some unknown functionality of the file tinyfilemanager.php of the component Remote URL File Upload Module. The manipulation leads to unrestricted upload. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS