CVE-2026-30462
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Podatność typu path traversal w module Blocks systemu Daylight Studio FuelCMS v1.5.2 umożliwia atakującym wykonanie operacji przechodzenia między katalogami.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do plików poza katalogiem głównym aplikacji, co może prowadzić do wycieku wrażliwych danych lub dalszej eskalacji ataku.
Rekomendacja
Należy natychmiast zaktualizować FuelCMS do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć dostęp do modułu Blocks tylko dla zaufanych użytkowników.
Inne podatności w FuelCMS
Zobacz wszystkie- CVE-2026-30458Krytyczne
Podatność w FuelCMS v1.5.2 umożliwia atakującym przechwycenie tokenów resetowania haseł użytkowników poprzez atak polegający na dzieleniu wiadomości e-mail (mail splitting).
- CVE-2026-30457Krytyczne
Podatność w komponencie /parser/dwoo w FuelCMS v1.5.2 umożliwia atakującym wykonanie dowolnego kodu PHP poprzez spreparowane dane wejściowe.
- CVE-2026-30459Wysokie
W funkcji "Zapomniałem hasła" w FuelCMS v1.5.2 wykryto podatność, która umożliwia nieuwierzytelnionemu atakującemu przechwycenie tokena resetowania hasła ofiary poprzez spreparowany link umieszczony w prawidłowej wiadomości e-mail.
- CVE-2026-30461Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez plik /controllers/Installer.php oraz funkcję add_git_submodule.
- CVE-2026-30460Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) w module Blocks. Atakujący z ważnym kontem może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2026-30463Wysokie
W systemie Daylight Studio FuelCMS w wersji 1.5.2 wykryto podatność na wstrzykiwanie SQL w komponencie /controllers/Login.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Oryginalny opis (angielski, źródło NVD)
A path traversal vulnerability in the Blocks module of Daylight Studio FuelCMS v1.5.2 allows attackers to execute a directory traversal.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS