CVE-2026-30459
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W funkcji "Zapomniałem hasła" w FuelCMS v1.5.2 wykryto podatność, która umożliwia nieuwierzytelnionemu atakującemu przechwycenie tokena resetowania hasła ofiary poprzez spreparowany link umieszczony w prawidłowej wiadomości e-mail.
Ocena ryzyka
Atakujący może przejąć konto użytkownika bez znajomości jego hasła, co prowadzi do nieautoryzowanego dostępu do systemu i potencjalnej kradzieży danych.
Rekomendacja
Należy natychmiast zaktualizować FuelCMS do najnowszej wersji łatającej tę podatność oraz wdrożyć mechanizmy zabezpieczające tokeny resetowania hasła przed przechwyceniem.
Inne podatności w FuelCMS
Zobacz wszystkie- CVE-2026-30458Krytyczne
Podatność w FuelCMS v1.5.2 umożliwia atakującym przechwycenie tokenów resetowania haseł użytkowników poprzez atak polegający na dzieleniu wiadomości e-mail (mail splitting).
- CVE-2026-30457Krytyczne
Podatność w komponencie /parser/dwoo w FuelCMS v1.5.2 umożliwia atakującym wykonanie dowolnego kodu PHP poprzez spreparowane dane wejściowe.
- CVE-2026-30462Średnie
Podatność typu path traversal w module Blocks systemu Daylight Studio FuelCMS v1.5.2 umożliwia atakującym wykonanie operacji przechodzenia między katalogami.
- CVE-2026-30461Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez plik /controllers/Installer.php oraz funkcję add_git_submodule.
- CVE-2026-30460Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) w module Blocks. Atakujący z ważnym kontem może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2026-30463Wysokie
W systemie Daylight Studio FuelCMS w wersji 1.5.2 wykryto podatność na wstrzykiwanie SQL w komponencie /controllers/Login.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
An issue in the Forgot Password feature of Daylight Studio FuelCMS v1.5.2 allows unauthenticated attackers to obtain the password reset token of a victim user via a crafted link placed in a valid e-mail message.