CVE-2026-34906
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W systemie Wirtualna Uczelnia (wersje do wu#2016.437.295#0#20260327_105545) występuje podatność na wstrzykiwanie szablonów po stronie serwera (SSTI) w endpointcie redirectToUrl. Nieuwierzytelniony atakujący może wstrzyknąć wyrażenia szablonu, co prowadzi do zdalnego wykonania kodu (RCE), w tym uzyskania reverse shella.
Ocena ryzyka
Atakujący bez uwierzytelnienia może zdalnie wykonać dowolne polecenia na serwerze, co grozi całkowitym przejęciem systemu.
Rekomendacja
Należy zaktualizować Wirtualną Uczelnię do wersji nowszej niż wu#2016.437.295#0#20260327_105545, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Server-Side Template Injection (SSTI) in Wirtualna Uczelnia allows an unauthenticated attacker to perform Remote Code Execution (RCE). In the endpoint redirectToUrl and parameter redirectUrlParameter, insufficient input validation permits injection of arbitrary template expressions that are executed on the server. Successful exploitation can allow an attacker to run remote commands, including establishing a reverse shell. This issue affects Wirtualna Uczelnia versions up to wu#2016.437.295#0#20260327_105545