CVE-2026-30461
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez plik /controllers/Installer.php oraz funkcję add_git_submodule.
Ocena ryzyka
Atakujący z ważnym uwierzytelnieniem może wykorzystać tę podatność do wykonania dowolnego kodu na serwerze, co prowadzi do pełnego przejęcia kontroli nad systemem CMS.
Rekomendacja
Należy natychmiast zaktualizować FuelCMS do najnowszej dostępnej wersji oraz ograniczyć dostęp do pliku Installer.php tylko dla zaufanych administratorów.
Inne podatności w FuelCMS
Zobacz wszystkie- CVE-2026-30458Krytyczne
Podatność w FuelCMS v1.5.2 umożliwia atakującym przechwycenie tokenów resetowania haseł użytkowników poprzez atak polegający na dzieleniu wiadomości e-mail (mail splitting).
- CVE-2026-30457Krytyczne
Podatność w komponencie /parser/dwoo w FuelCMS v1.5.2 umożliwia atakującym wykonanie dowolnego kodu PHP poprzez spreparowane dane wejściowe.
- CVE-2026-30462Średnie
Podatność typu path traversal w module Blocks systemu Daylight Studio FuelCMS v1.5.2 umożliwia atakującym wykonanie operacji przechodzenia między katalogami.
- CVE-2026-30459Wysokie
W funkcji "Zapomniałem hasła" w FuelCMS v1.5.2 wykryto podatność, która umożliwia nieuwierzytelnionemu atakującemu przechwycenie tokena resetowania hasła ofiary poprzez spreparowany link umieszczony w prawidłowej wiadomości e-mail.
- CVE-2026-30460Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) w module Blocks. Atakujący z ważnym kontem może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2026-30463Wysokie
W systemie Daylight Studio FuelCMS w wersji 1.5.2 wykryto podatność na wstrzykiwanie SQL w komponencie /controllers/Login.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
Daylight Studio FuelCMS v1.5.2 was discovered to contain an authenticated remote code execution (RCE) vulnerability via the /controllers/Installer.php and the function add_git_submodule.