CVE-2026-34415
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 88 - wyżej niż 88% wszystkich znanych CVE
Streszczenie
Podatność w Xerte Online Toolkits w wersjach 3.15 i wcześniejszych wynika z niekompletnej walidacji danych wejściowych w punkcie końcowym elFinder. Błąd w wyrażeniu regularnym nie blokuje rozszerzenia .php4, co pozwala nieuwierzytelnionym atakującym na ominięcie uwierzytelniania i ścieżek, przesłanie złośliwego kodu PHP i wykonanie dowolnych poleceń systemowych na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem przez nieuwierzytelnionego atakującego, co może prowadzić do kradzieży danych, modyfikacji treści lub wykorzystania serwera do dalszych ataków.
Rekomendacja
Zaleca się natychmiastową aktualizację Xerte Online Toolkits do wersji 3.16 lub nowszej, która zawiera poprawkę walidacji rozszerzeń plików. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć punkt końcowy elFinder lub zastosować reguły WAF blokujące przesyłanie plików z rozszerzeniem .php4.
Oryginalny opis (angielski, źródło NVD)
Xerte Online Toolkits versions 3.15 and earlier contain an incomplete input validation vulnerability in the elFinder connector endpoint that fails to block PHP-executable extensions .php4 due to an incorrect regex pattern. Unauthenticated attackers can exploit this flaw combined with authentication bypass and path traversal vulnerabilities to upload malicious PHP code, rename it with a .php4 extension, and execute arbitrary operating system commands on the server.