CVE-2026-16451
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Podatność nieograniczonego przesyłania plików w ZS-Admin do wersji b52e145. Nieznana funkcja w pliku /api/system/file/upload w komponencie SysFileController nie ogranicza typu przesyłanego pliku, co umożliwia zdalne przesłanie dowolnego pliku. Exploit jest publiczny.
Ocena ryzyka
Atakujący może przesłać złośliwy plik (np. webshell) na serwer, co prowadzi do zdalnego wykonania kodu i pełnego przejęcia systemu.
Rekomendacja
Należy natychmiast zaktualizować ZS-Admin do najnowszej wersji lub ręcznie dodać walidację typu pliku i ograniczenia rozmiaru w funkcji upload.
Inne podatności w ZS-Admin
Zobacz wszystkie- CVE-2026-16450Średnie
Podatność w zsadmin2025 ZS-Admin do wersji b52e14536d59fda11e56e2536a1c32e82a38cead. Funkcja getTenantId w pliku /api/system/sys/dept/page komponentu MyBatis-Plus Tenant Plugin pozwala na ominięcie autoryzacji poprzez manipulację argumentem X-Tenant-Id. Atak zdalny, exploit publicznie dostępny.
- CVE-2026-16449Średnie
W ZS-Admin do wersji b52e14536d59fda11e56e2536a1c32e82a38cead, funkcja OrderItem.asc/OrderItem.desc w pliku /api/system/sys/dept/page w komponencie com.zs.sys.dept.controller.SysDeptController jest podatna na wstrzykiwanie SQL poprzez manipulację argumentem orderField. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in zsadmin2025 ZS-Admin up to b52e14536d59fda11e56e2536a1c32e82a38cead. This impacts an unknown function of the file /api/system/file/upload of the component com.zs.file.controller.SysFileController. Performing a manipulation of the argument File results in unrestricted upload. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.