CVE-2026-34415
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 88 - wyżej niż 88% wszystkich znanych CVE
Streszczenie
Podatność w Xerte Online Toolkits w wersjach 3.15 i wcześniejszych wynika z niekompletnej walidacji danych wejściowych w punkcie końcowym elFinder. Błąd w wyrażeniu regularnym nie blokuje rozszerzenia .php4, co pozwala nieuwierzytelnionym atakującym na ominięcie uwierzytelniania i ścieżek, przesłanie złośliwego kodu PHP i wykonanie dowolnych poleceń systemowych na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, modyfikacji treści lub wykorzystania serwera do dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację Xerte Online Toolkits do wersji 3.16 lub nowszej, która zawiera poprawkę walidacji rozszerzeń plików. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć punkt końcowy elFinder lub zastosować reguły WAF blokujące przesyłanie plików z rozszerzeniem .php4.
Inne podatności w Xerte Online Toolkits
Zobacz wszystkie- CVE-2026-41459Średnie
Podatność w Xerte Online Toolkits w wersjach 3.15 i wcześniejszych umożliwia nieuwierzytelnionym atakującym odczytanie pełnej ścieżki systemu plików po stronie serwera dla katalogu głównego aplikacji. Wystarczy wysłać żądanie GET do strony /setup, aby uzyskać wartość root_path wyświetlaną w odpowiedzi HTML.
- CVE-2026-34414Wysokie
Podatność typu path traversal w Xerte Online Toolkits w wersjach 3.15 i wcześniejszych pozwala atakującemu na przenoszenie plików z katalogów projektu do dowolnych lokalizacji w systemie plików poprzez niesanitizowany parametr 'name' w komendzie rename endpointu elFinder. Może to prowadzić do nadpisania plików aplikacji, trwałego cross-site scripting (XSS) lub w połączeniu z innymi podatnościami do zdalnego wykonania kodu bez uwierzytelnienia.
- CVE-2026-34413Wysokie
Xerte Online Toolkits w wersjach 3.15 i wcześniejszych zawiera brak uwierzytelniania w punkcie końcowym elFinder connector. HTTP przekierowanie dla nieuwierzytelnionych wywołań nie wywołuje exit() ani die(), co pozwala na kontynuację przetwarzania żądania po stronie serwera.
Oryginalny opis (angielski, źródło NVD)
Xerte Online Toolkits versions 3.15 and earlier contain an incomplete input validation vulnerability in the elFinder connector endpoint that fails to block PHP-executable extensions .php4 due to an incorrect regex pattern. Unauthenticated attackers can exploit this flaw combined with authentication bypass and path traversal vulnerabilities to upload malicious PHP code, rename it with a .php4 extension, and execute arbitrary operating system commands on the server.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS