CVE-2026-36471
NieznaneStreszczenie
Deserializacja niezaufanych danych parametru __post_data w funkcji cn_parse_url() w CuteNews w wersji 2.1.2 pozwala zdalnemu atakującemu wstrzyknąć dowolne wartości do wewnętrznych zmiennych żądania (w tym __referer) poprzez spreparowany ładunek PHP serializowany i zakodowany w base64, przesłany jako parametr POST.
Ocena ryzyka
Atakujący może zdalnie manipulować wewnętrznymi zmiennymi żądania, co może prowadzić do dalszych ataków, takich jak wstrzyknięcie kodu lub obejście zabezpieczeń.
Rekomendacja
Zaktualizuj CuteNews do wersji nowszej niż 2.1.2, która usuwa podatność deserializacji, oraz unikaj deserializacji niezaufanych danych wejściowych.
Inne podatności w CuteNews
Zobacz wszystkie- CVE-2026-36472Średnie
CuteNews v2.1.2 jest podatny na XSS w wartości __referer. Atakujący może wykonać dowolny JavaScript w kontekście sesji uwierzytelnionego użytkownika poprzez javascript: URI renderowany jako nieoszlifowany link na stronie msg_info.
- CVE-2026-36470Nieznane
CuteNews w wersji 2.1.2 jest podatny na cross site scripting (XSS) w pliku index.php. Wartość nagłówka "Referer" jest kopiowana do odpowiedzi HTML bez modyfikacji i escapowania podczas wysyłania wiadomości POST do index.php.
- CVE-2026-36469Nieznane
CuteNews w wersji 2.1.2 jest podatny na Server-Side Request Forgery (SSRF) w pliku core/modules/media.php — funkcja upload_from_inet (funkcjonalność "Upload by URL" w Media Manager).
- CVE-2026-36468Średnie
CuteNews v2.1.2 ma podatność XSS w index.php, gdzie nieuwierzytelniony atakujący może dostarczyć dowolny klucz parametru URL, zawierający w nazwie część z payloadem XSS, co prowadzi do wykonania skryptu w przeglądarce ofiary.
- CVE-2026-36467Wysokie
W CuteNews w wersji 2.1.2 w pliku core/modules/media.php występuje nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to zdalnym uwierzytelnionym użytkownikom z dostępem do panelu Media Manager wykonanie dowolnego kodu w kontekście aplikacji webowej, co prowadzi do uzyskania dostępu do serwera poprzez wywołanie reverse shell.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data of the __post_data parameter in cn_parse_url() in CuteNews v.2.1.2 allows a remote attacker to inject arbitrary values into internal request variables (including __referer) via a crafted base64-encoded serialized PHP payload submitted as a POST parameter.