CVE-2026-13544
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Feehi CMS do wersji 2.1.1 wykryto podatność w pliku /api/users komponentu API. Nieznana funkcjonalność tego pliku powoduje nieprawidłową kontrolę dostępu, co umożliwia zdalne ataki. Exploit został opublikowany i może być wykorzystany.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do API, co może prowadzić do wycieku danych lub manipulacji użytkownikami. Brak reakcji ze strony projektu zwiększa ryzyko eksploatacji podatności.
Rekomendacja
Należy natychmiast zaktualizować Feehi CMS do najnowszej dostępnej wersji lub zastosować tymczasowe zabezpieczenia, takie jak ograniczenie dostępu do pliku /api/users za pomocą reguł firewall lub uwierzytelniania.
Inne podatności w Feehi CMS
Zobacz wszystkie- CVE-2026-95265Wysokie
Feehi CMS 2.1.1 zawiera podatność Server-Side Request Forgery (SSRF) w punkcie końcowym UEditor catchimage. Walidacja prywatnych adresów IP nie blokuje adresów loopback ani link-local, co pozwala atakującemu na skłonienie serwera do sondowania wewnętrznych usług HTTP poprzez różnice w odpowiedziach.
- CVE-2026-95264Średnie
Feehi CMS 2.1.1 jest podatny na Directory Traversal. Uwierzytelniony użytkownik backendu z uprawnieniem do edycji artykułów może usuwać dowolne pliki, do których proces PHP ma prawo zapisu. Metadane obrazu artykułu są używane do konstruowania ścieżki w systemie plików i przekazywane do funkcji unlink() bez walidacji ścieżki ani katalogu.
- CVE-2026-95263Wysokie
Feehi CMS 2.1.1 jest podatny na nieprawidłową kontrolę dostępu. Niskouprzywilejowany administrator backendu z uprawnieniem do aktualizacji administratora może zmienić hasło wbudowanego konta superadministratora. Serwer nie wymusza ochrony tego konta, a scenariusz aktualizacji nie wymaga podania starego hasła.
- CVE-2026-13546Wysokie
W Feehi CMS do wersji 2.1.1 wykryto brak uwierzytelnienia w punkcie końcowym REST API /api/articles. Luka umożliwia zdalne wykorzystanie bez konieczności logowania, a szczegóły exploitów są publicznie dostępne.
- CVE-2026-31313Średnie
W Feehi CMS v2.1.1 wykryto podatność na trwały atak XSS w module tworzenia/edycji treści. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Content, który zostanie wykonany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in Feehi CMS up to 2.1.1. Affected by this issue is some unknown functionality of the file /api/users of the component API. This manipulation causes improper access controls. The attack can be initiated remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS