CVE-2026-36669
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Feng Office 3.11.13.11 zawiera podatność na nieuwierzytelnione przesyłanie dowolnych plików w skrypcie ck_upload_handler.php. Zdalny atakujący może przesłać złośliwe pliki (np. .html) do katalogu /tmp/ dostępnego z poziomu sieci.
Ocena ryzyka
Atakujący może przesłać złośliwy plik HTML, który po otwarciu przez administratora może prowadzić do kradzieży sesji lub wykonania skryptów XSS.
Rekomendacja
Zaktualizuj Feng Office do najnowszej wersji. Ogranicz dostęp do katalogu /tmp/ i sprawdź, czy nie ma tam nieoczekiwanych plików.
Oryginalny opis (angielski, źródło NVD)
An unauthenticated arbitrary file upload vulnerability in ck_upload_handler.php in Feng Office 3.11.13.11 allows remote attackers to upload malicious files (such as .html) to the web-accessible /tmp/ directory.