CVE-2026-36467
WysokieCVSS 7.2Streszczenie
W CuteNews w wersji 2.1.2 w pliku core/modules/media.php występuje nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to zdalnym uwierzytelnionym użytkownikom z dostępem do panelu Media Manager wykonanie dowolnego kodu w kontekście aplikacji webowej, co prowadzi do uzyskania dostępu do serwera poprzez wywołanie reverse shell.
Ocena ryzyka
Uwierzytelniony użytkownik z dostępem do Media Manager może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia serwera i zdalnego dostępu.
Rekomendacja
Zaktualizuj CuteNews do wersji nowszej niż 2.1.2, jeśli jest dostępna. Do czasu aktualizacji ogranicz dostęp do panelu Media Manager wyłącznie do zaufanych administratorów i weryfikuj przesyłane pliki.
Inne podatności w CuteNews
Zobacz wszystkie- CVE-2026-36472Średnie
CuteNews v2.1.2 jest podatny na XSS w wartości __referer. Atakujący może wykonać dowolny JavaScript w kontekście sesji uwierzytelnionego użytkownika poprzez javascript: URI renderowany jako nieoszlifowany link na stronie msg_info.
- CVE-2026-36471Nieznane
Deserializacja niezaufanych danych parametru __post_data w funkcji cn_parse_url() w CuteNews w wersji 2.1.2 pozwala zdalnemu atakującemu wstrzyknąć dowolne wartości do wewnętrznych zmiennych żądania (w tym __referer) poprzez spreparowany ładunek PHP serializowany i zakodowany w base64, przesłany jako parametr POST.
- CVE-2026-36470Nieznane
CuteNews w wersji 2.1.2 jest podatny na cross site scripting (XSS) w pliku index.php. Wartość nagłówka "Referer" jest kopiowana do odpowiedzi HTML bez modyfikacji i escapowania podczas wysyłania wiadomości POST do index.php.
- CVE-2026-36469Nieznane
CuteNews w wersji 2.1.2 jest podatny na Server-Side Request Forgery (SSRF) w pliku core/modules/media.php — funkcja upload_from_inet (funkcjonalność "Upload by URL" w Media Manager).
- CVE-2026-36468Średnie
CuteNews v2.1.2 ma podatność XSS w index.php, gdzie nieuwierzytelniony atakujący może dostarczyć dowolny klucz parametru URL, zawierający w nazwie część z payloadem XSS, co prowadzi do wykonania skryptu w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Unrestricted Upload of File with Dangerous Type in core/modules/media.php in CuteNews v.2.1.2 allows remote authenticated users with access to the Media Manager panel to execute arbitrary code in the context of the web application, leading to remote server access by triggering a reverse shell.