CVE-2026-18645

ŚrednieCVSS 5.4

Opublikowano: 03/08/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 04/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.54%

Percentyl 45 - wyżej niż 45% wszystkich znanych CVE

Streszczenie

W danpros HTMLy do wersji 3.1.1 wykryto podatność w funkcji add_content pliku /system/admin/admin.php komponentu Admin Content Endpoint. Manipulacja argumentem oldfile prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego odczytu lub zapisu dowolnych plików na serwerze, co może prowadzić do wycieku danych lub przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się natychmiastową aktualizację HTMLy do wersji, która usuwa tę podatność, jeśli jest dostępna. W przeciwnym razie należy ograniczyć dostęp do panelu administracyjnego i stosować filtrowanie danych wejściowych.

Inne podatności w danpros HTMLy

CVE-2026-18646Średnie
W danpros HTMLy do wersji 3.1.1 wykryto podatność w nieznanym kodzie pliku /system/htmly.php komponentu Author Name Handler. Manipulacja argumentem Name prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in danpros HTMLy up to 3.1.1. This affects the function add_content of the file /system/admin/admin.php of the component Admin Content Endpoint. Performing a manipulation of the argument oldfile results in path traversal. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS