CVE-2026-14636
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W komponencie Vendor Image Manager w Ecommerce-CodeIgniter-Bootstrap wykryto podatność na path traversal. Funkcja do_upload_others_images w pliku AddProduct.php pozwala na manipulację argumentem folder, co umożliwia zdalne odczytywanie plików poza dozwolonym katalogiem.
Ocena ryzyka
Atakujący może zdalnie odczytać wrażliwe pliki systemowe, takie jak konfiguracje bazy danych czy hasła, co prowadzi do wycieku danych i potencjalnego przejęcia kontroli nad aplikacją.
Rekomendacja
Należy niezwłocznie zastosować patch oznaczony jako de1c9e73ccf3bd032d9a0525c4752290d959dd8b. Ze względu na model ciągłych wydań, zaleca się regularne aktualizacje do najnowszej wersji repozytorium.
Inne podatności w Ecommerce-CodeIgniter-Bootstrap
Zobacz wszystkie- CVE-2024-31823Krytyczne
Podatność w Ecommerce-CodeIgniter-Bootstrap pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez metodę removeSecondaryImage w komponencie Publish.php.
- CVE-2026-14637Wysokie
W bibliotece Ecommerce-CodeIgniter-Bootstrap wykryto podatność polegającą na deserializacji w funkcji getCartItems pliku ShoppingCart.php. Atak może być przeprowadzony zdalnie poprzez manipulację argumentem shopping_cart. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.
- CVE-2026-14635Wysokie
W Ecommerce-CodeIgniter-Bootstrap do wersji 222ff31c06687b1c6d0e1ab63953f82c3674c52b wykryto podatność na manipulację ścieżką (path traversal) w pliku AddProduct.php komponentu Vendor Multi-Image Endpoint. Atakujący może zdalnie zmienić argument folder, co prowadzi do nieautoryzowanego dostępu do plików. Exploit został opublikowany i może być wykorzystywany w atakach.
- CVE-2026-14634Średnie
W kirilkirkov Ecommerce-CodeIgniter-Bootstrap do wersji 213babdbaa949e94557246414db0130e01394517 stwierdzono podatność na atak XSS w funkcji checkForPostRequests pliku application/core/MY_Controller.php. Manipulacja argumentem User-Agent umożliwia zdalne wykonanie skryptu.
- CVE-2026-14633Średnie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 49b20f53 stwierdzono podatność na atak XSS w ukrytym punkcie końcowym REST API. Manipulacja argumentami title/description w pliku /index.php/api/product/set umożliwia zdalne wykonanie skryptów krzyżowych.
- CVE-2026-14632Średnie
W bibliotece Ecommerce-CodeIgniter-Bootstrap do wersji 95dfa8cebbb87ab46ae450643a07241274a74dce wykryto podatność w funkcji setReferrer pliku application/core/MY_Controller.php. Manipulacja argumentem href prowadzi do otwartego przekierowania (open redirect), które może być zdalnie wykorzystane.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in kirilkirkov Ecommerce-CodeIgniter-Bootstrap up to 23105f25dadf57b4314fc015a63a7c6e910c89df. Impacted is the function do_upload_others_images of the file application/modules/vendor/controllers/AddProduct.php of the component Vendor Image Manager. Executing a manipulation of the argument folder can lead to path traversal. It is possible to launch the attack remotely. This product takes the approach of rolling releases to provide continious delivery. Therefore, version details for affected and updated releases are not available. This patch is called de1c9e73ccf3bd032d9a0525c4752290d959dd8b. It is best practice to apply a patch to resolve this issue.