CVE-2026-13546
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W Feehi CMS do wersji 2.1.1 wykryto brak uwierzytelnienia w punkcie końcowym REST API /api/articles. Luka umożliwia zdalne wykorzystanie bez konieczności logowania, a szczegóły exploitów są publicznie dostępne.
Ocena ryzyka
Atakujący może zdalnie uzyskać nieautoryzowany dostęp do artykułów i potencjalnie innych zasobów API, co prowadzi do wycieku danych lub manipulacji treścią.
Rekomendacja
Należy natychmiast zaktualizować Feehi CMS do najnowszej wersji po wydaniu łatki lub tymczasowo ograniczyć dostęp do punktu /api/articles za pomocą reguł firewall i uwierzytelniania.
Inne podatności w Feehi CMS
Zobacz wszystkie- CVE-2026-95265Wysokie
Feehi CMS 2.1.1 zawiera podatność Server-Side Request Forgery (SSRF) w punkcie końcowym UEditor catchimage. Walidacja prywatnych adresów IP nie blokuje adresów loopback ani link-local, co pozwala atakującemu na skłonienie serwera do sondowania wewnętrznych usług HTTP poprzez różnice w odpowiedziach.
- CVE-2026-95264Średnie
Feehi CMS 2.1.1 jest podatny na Directory Traversal. Uwierzytelniony użytkownik backendu z uprawnieniem do edycji artykułów może usuwać dowolne pliki, do których proces PHP ma prawo zapisu. Metadane obrazu artykułu są używane do konstruowania ścieżki w systemie plików i przekazywane do funkcji unlink() bez walidacji ścieżki ani katalogu.
- CVE-2026-95263Wysokie
Feehi CMS 2.1.1 jest podatny na nieprawidłową kontrolę dostępu. Niskouprzywilejowany administrator backendu z uprawnieniem do aktualizacji administratora może zmienić hasło wbudowanego konta superadministratora. Serwer nie wymusza ochrony tego konta, a scenariusz aktualizacji nie wymaga podania starego hasła.
- CVE-2026-13544Średnie
W Feehi CMS do wersji 2.1.1 wykryto podatność w pliku /api/users komponentu API. Nieznana funkcjonalność tego pliku powoduje nieprawidłową kontrolę dostępu, co umożliwia zdalne ataki. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-31313Średnie
W Feehi CMS v2.1.1 wykryto podatność na trwały atak XSS w module tworzenia/edycji treści. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Content, który zostanie wykonany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Feehi CMS up to 2.1.1. This vulnerability affects unknown code of the file /api/articles of the component REST API Endpoint. Performing a manipulation results in missing authentication. The attack may be initiated remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS