CVE-2026-30463
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
W systemie Daylight Studio FuelCMS w wersji 1.5.2 wykryto podatność na wstrzykiwanie SQL w komponencie /controllers/Login.php. Atakujący może wykorzystać tę lukę do manipulacji zapytaniami do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację FuelCMS do najnowszej dostępnej wersji oraz zastosowanie parametrów w zapytaniach SQL (prepared statements) w komponencie Login.php.
Inne podatności w FuelCMS
Zobacz wszystkie- CVE-2026-30458Krytyczne
Podatność w FuelCMS v1.5.2 umożliwia atakującym przechwycenie tokenów resetowania haseł użytkowników poprzez atak polegający na dzieleniu wiadomości e-mail (mail splitting).
- CVE-2026-30457Krytyczne
Podatność w komponencie /parser/dwoo w FuelCMS v1.5.2 umożliwia atakującym wykonanie dowolnego kodu PHP poprzez spreparowane dane wejściowe.
- CVE-2026-30462Średnie
Podatność typu path traversal w module Blocks systemu Daylight Studio FuelCMS v1.5.2 umożliwia atakującym wykonanie operacji przechodzenia między katalogami.
- CVE-2026-30459Wysokie
W funkcji "Zapomniałem hasła" w FuelCMS v1.5.2 wykryto podatność, która umożliwia nieuwierzytelnionemu atakującemu przechwycenie tokena resetowania hasła ofiary poprzez spreparowany link umieszczony w prawidłowej wiadomości e-mail.
- CVE-2026-30461Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) poprzez plik /controllers/Installer.php oraz funkcję add_git_submodule.
- CVE-2026-30460Wysokie
W Daylight Studio FuelCMS w wersji 1.5.2 odkryto uwierzytelnioną podatność na zdalne wykonanie kodu (RCE) w module Blocks. Atakujący z ważnym kontem może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Daylight Studio FuelCMS v1.5.2 was discovered to contain a SQL injection vulnerability via the /controllers/Login.php component.