CVE-2026-11621
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Dcat-Admin do wersji 2.2.3-beta ma podatność w funkcji editorMDUpload na stronie ustawień użytkownika. Manipulacja argumentem editormd-image-file prowadzi do nieograniczonego przesyłania plików. Atak może być zdalny.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do zdalnego wykonania kodu lub defacementu strony.
Rekomendacja
Zaleca się aktualizację Dcat-Admin do najnowszej wersji oraz ograniczenie dostępu do funkcji przesyłania plików tylko dla zaufanych użytkowników.
Inne podatności w Dcat-Admin
Zobacz wszystkie- CVE-2024-29644Średnie
W dcat-admin w wersji 2.1.3 i wcześniejszych wykryto podatność na atak XSS (Cross-Site Scripting). Zdalny atakujący może wykorzystać pole logowania użytkownika do wstrzyknięcia złośliwego skryptu i wykonania dowolnego kodu.
- CVE-2023-33736Średnie
W Dcat-Admin w wersji 2.1.3-beta występuje podatność typu stored cross-site scripting (XSS), która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML poprzez wstrzyknięcie spreparowanego ładunku do parametru URL.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in Dcat-Admin up to 2.2.3-beta. This impacts the function editorMDUpload of the file /admin/dcat-api/editor-md/upload of the component User Setting Page. This manipulation of the argument editormd-image-file causes unrestricted upload. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks.