CVE-2026-30457
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Podatność w komponencie /parser/dwoo w FuelCMS v1.5.2 umożliwia atakującym wykonanie dowolnego kodu PHP poprzez spreparowane dane wejściowe.
Ocena ryzyka
Atakujący może przejąć kontrolę nad serwerem, wykraść dane lub zainstalować złośliwe oprogramowanie, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Należy natychmiast zaktualizować FuelCMS do najnowszej wersji lub zastosować dostępne łatki bezpieczeństwa, a także ograniczyć dostęp do komponentu /parser/dwoo.
Inne podatności w FuelCMS
Zobacz wszystkie- CVE-2026-30458Krytyczne
Podatność w FuelCMS v1.5.2 umożliwia atakującym przechwycenie tokenów resetowania haseł użytkowników poprzez atak polegający na dzieleniu wiadomości e-mail (mail splitting).
- CVE-2026-30462Średnie
Podatność typu path traversal w module Blocks systemu Daylight Studio FuelCMS v1.5.2 umożliwia atakującym wykonanie operacji przechodzenia między katalogami.
- CVE-2026-30459Wysokie
W funkcji "Zapomniałem hasła" w FuelCMS v1.5.2 wykryto podatność, która umożliwia nieuwierzytelnionemu atakującemu przechwycenie tokena resetowania hasła ofiary poprzez spreparowany link umieszczony w prawidłowej wiadomości e-mail.
- CVE-2026-30461Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez plik /controllers/Installer.php oraz funkcję add_git_submodule.
- CVE-2026-30460Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) w module Blocks. Atakujący z ważnym kontem może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2026-30463Wysokie
W systemie Daylight Studio FuelCMS w wersji 1.5.2 wykryto podatność na wstrzykiwanie SQL w komponencie /controllers/Login.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
An issue in the /parser/dwoo component of Daylight Studio FuelCMS v1.5.2 allows attackers to execute arbitrary code via crafted PHP code.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS