CVE-2026-12194
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
PHPIPAM zawiera podatność na lokalne dołączanie plików (LFI) po uwierzytelnieniu, umożliwiającą użytkownikom z dostępem do API wykonywanie lub dołączanie dowolnych plików PHP w systemie plików serwera WWW. API nie jest domyślnie włączone w instalacjach.
Ocena ryzyka
Atakujący z dostępem do API może przejąć kontrolę nad serwerem WWW, wykonując złośliwy kod PHP, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Zaleca się wyłączenie API, jeśli nie jest wymagane, oraz natychmiastową aktualizację PHPIPAM do najnowszej wersji zawierającej poprawkę.
Oryginalny opis (angielski, źródło NVD)
PHPIPAM is affected by an authenticated local file inclusion vulnerability that allows users with access to the API to execute/include arbitrary PHP files on the web server's file system. The API is not enabled by default on installations.