CVE-2026-25923
KrytyczneStreszczenie
my little forum to forum internetowe oparte na PHP i MySQL, które wyświetla wiadomości w klasycznym widoku wątków. Przed wersją 20260208.1 aplikacja nie filtruje protokołu phar:// w walidacji URL, co pozwala atakującym na przesyłanie złośliwych plików Phar Polyglot (przebranych za JPEG) za pomocą funkcji przesyłania obrazów, co prowadzi do deserializacji Phar poprzez przetwarzanie tagu BBCode [img] i umożliwia usunięcie dowolnych plików.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając atakującym usunięcie dowolnych plików na serwerze, co może prowadzić do utraty danych i zakłócenia działania systemu.
Rekomendacja
Zaleca się aktualizację aplikacji do wersji 20260208.1 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych środków zabezpieczających w celu ochrony przed podobnymi atakami.
Powiązane podatności
- CVE-2026-81797Krytyczne
Motyw WordPress Buzz Stone | Magazine & Viral Blog w wersjach do 1.0.2 zawiera podatność typu PHP Object Injection. Atakujący nieuwierzytelniony może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78535Krytyczne
Motyw WordPress Photolia w wersjach do 1.0.3 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78533Krytyczne
Motyw WordPress Qwery w wersjach do 3.6.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78531Krytyczne
Motyw WordPress Jacqueline w wersjach do 2.22 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-78529Krytyczne
Motyw WordPress Alliance w wersjach do 3.11 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66569Krytyczne
Motyw WordPress Kicker w wersjach do 2.2.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66568Krytyczne
Motyw WordPress Original w wersjach do 1.9.0 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66567Krytyczne
Motyw WordPress Anesta w wersjach do 1.5.3 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66565Krytyczne
Motyw WordPress FC United w wersjach do 1.1.1 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
- CVE-2026-66564Krytyczne
Motyw WordPress ShiftCV w wersjach do 3.0.14 zawiera podatność typu PHP Object Injection. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy obiekt PHP, co może prowadzić do wykonania dowolnego kodu lub innych poważnych skutków.
Oryginalny opis (angielski, źródło NVD)
my little forum is a PHP and MySQL based internet forum that displays the messages in classical threaded view. Prior to 20260208.1, the application fails to filter the phar:// protocol in URL validation, allowing attackers to upload a malicious Phar Polyglot file (disguised as JPEG) via the image upload feature, trigger Phar deserialization through BBCode [img] tag processing, and exploit Smarty 4.1.0 POP chain to achieve arbitrary file deletion. This vulnerability is fixed in 20260208.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS