CVE-2026-22521
WysokieStreszczenie
W podatności CVE-2026-22521 występuje niewłaściwa kontrola nazw plików w instrukcjach include/require w programie PHP w frameworku G5Theme Handmade Framework, co pozwala na lokalne dołączenie plików PHP. Problem dotyczy wersji Handmade Framework od n/a do 3.9 włącznie.
Ocena ryzyka
Zagrożenie to może prowadzić do nieautoryzowanego dostępu do plików systemowych, co może skutkować ujawnieniem wrażliwych danych lub zdalnym wykonaniem kodu. Organizacje powinny być świadome ryzyka związanego z używaniem podatnych wersji frameworka.
Rekomendacja
Zaleca się aktualizację frameworka Handmade Framework do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt kodu w celu zidentyfikowania i naprawienia potencjalnych luk w zabezpieczeniach.
Powiązane podatności
- CVE-2026-94084Krytyczne
Podatność use-after-free w Suricata przed wersją 8.0.7 występuje w mechanizmie Http2ThreadMultiBuf, gdy transakcja jest analizowana przez reguły używające http.response_header z transformacją i bez niej.
- CVE-2026-94083Krytyczne
W Suricata przed wersją 8.0.7 występuje pomyłka typu w DoH2, która może prowadzić do nieprawidłowego zwolnienia pamięci, ponieważ kod sprzątający dla stanu HTTP2 jest wykonywany mimo że faktyczny stan to HTTP1 (przy żądaniu DoH2 z przejściem z HTTP1 na HTTP2). Wymaga to włączenia app-layer.protocols.doh2, co jest domyślne w wersjach 8.x.
- CVE-2026-93958Krytyczne
Podatność w D-Link R95 (wersja BE9500_1.00.16) dotyczy funkcji system w pliku /bin/ssi komponentu DHMAPI. Manipulacja argumentem NTPServer prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-93985Krytyczne
OpenPanel js-runtime do commita bad75bdd zawiera podatność ucieczki z sandboxa w walidatorze szablonów webhooków JavaScript, który nie blokuje dostępu do łańcuchów konstruktorów poprzez notację obliczeniową. Atakujący z prawem zapisu do projektu może tworzyć szablony webhooków wykorzystujące notację właściwości obliczeniowych, aby uzyskać dostęp do konstruktora Function i wykonać dowolny kod w procesie workera.
- CVE-2026-78030Krytyczne
Wersje DBI przed 1.653 dla Perla ładują dowolne moduły przez niezweryfikowane atrybuty dbm_type i dbm_mldbm w DBD::DBM. Atrybuty te są przekazywane do require bez sprawdzenia, czy wartość wskazuje moduł, co pozwala na załadowanie i wykonanie kodu z dowolnego pliku.
- CVE-2026-93742Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWsc w pliku /boafrm/formWsc. Manipulacja argumentem localPin prowadzi do wstrzyknięcia poleceń. Atak można przeprowadzić zdalnie, a publiczny exploit jest już dostępny.
- CVE-2026-86591Krytyczne
Wtyczka Botiga Pro dla WordPressa przed wersją 1.6.5 nie przeprowadza żadnych kontroli autoryzacji na jednej ze swoich tras REST, co pozwala nieuwierzytelnionym użytkownikom na aktualizację dowolnych opcji WordPressa z dowolnymi wartościami, co może prowadzić do eskalacji uprawnień i całkowitego przejęcia witryny. Ta sama trasa pozwala również nieuwierzytelnionym użytkownikom na przechowywanie dowolnych skryptów, które są wykonywane na każdej stronie front-endu, oraz na przenoszenie dowolnych wpisów do kosza.
- CVE-2026-93741Krytyczne
W routerze Totolink A3002MU (wersja Hh-B20211125.1046) wykryto lukę w funkcji formWlWds w pliku /boafrm/formWlWds. Manipulacja argumentem submit-url powoduje przepełnienie bufora. Atak można przeprowadzić zdalnie, a publiczny exploit został już udostępniony.
- CVE-2026-92229Krytyczne
Wtyczka Forminator Forms dla WordPressa (wersje do 1.57.2 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Wynika to z braku walidacji wartości przed uruchomieniem funkcji do_shortcode. Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y.
- CVE-2026-89274Krytyczne
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
Oryginalny opis (angielski, źródło NVD)
Improper Control of Filename for Include/Require Statement in PHP Program ('PHP Remote File Inclusion') vulnerability in G5Theme Handmade Framework handmade-framework allows PHP Local File Inclusion.This issue affects Handmade Framework: from n/a through <= 3.9.