CVE-2026-119620

WysokieCVSS 7.3

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W systemie cak-filemanagement-system wykryto podatność w funkcji move_uploaded_file w pliku admin/add_logs.php. Manipulacja argumentem File umożliwia nieograniczone przesyłanie plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Ocena ryzyka

Atakujący może przesłać dowolne pliki, w tym wykonywalne, co może prowadzić do zdalnego wykonania kodu i przejęcia systemu. Publiczny exploit zwiększa ryzyko szybkiego wykorzystania.

Rekomendacja

Jak najszybciej zaktualizuj system do wersji zawierającej poprawkę lub ogranicz dostęp do pliku admin/add_logs.php. W międzyczasie wdróż walidację typów plików i monitoruj nietypowe przesłane pliki.

Inne podatności w cak-filemanagement-system

CVE-2026-119619Wysokie
W systemie cak-filemanagement-system wykryto podatność typu SQL injection w funkcji mysqli_query w pliku admin/save_student.php. Manipulacja argumentami date/department/subject/forwarded_to/action_taken_by/section/password pozwala na wstrzyknięcie SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in 37954679 cak-filemanagement-system up to 5e6433246475e66462e1fea980688de96a049297. This vulnerability affects the function move_uploaded_file of the file admin/add_logs.php. Executing a manipulation of the argument File can lead to unrestricted upload. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS