CVE-2026-39275

Cockpit CMS 2.14.1 zawiera lukę obserwowalnej rozbieżności czasowej, która pozwala nieuwierzytelnionym atakującym enumerować konta z powodu niekompletnej poprawki czasowej w /auth/check. Atakujący mogą wysyłać próby logowania i mierzyć czasy odpowiedzi, ponieważ istniejące konta wykonują dwie operacje bcrypt zamiast jednej, ujawniając prawidłowe nazwy użytkowników i adresy e-mail.

Cockpit CMS w wersji od 2.12.0 do 2.14.1 wyłącza weryfikację certyfikatu TLS w żądaniu restartu workera web w pliku cron.php. Atakujący w sieci może przechwycić token workera, a atakujący typu man-in-the-middle na ścieżce wychodzącej do site_url może przedstawić dowolny certyfikat, aby ukraść wartość worker/web/token i uruchomić workera web.

Cockpit CMS przed wersją 2.14.1 zawiera podatność na enumerację kont w endpointcie sprawdzania uwierzytelnienia z powodu różnic czasowych w weryfikacji hasła. Atakujący mogą mierzyć czasy odpowiedzi w wielu żądaniach, aby określić, które konta istnieją, obserwując, że istniejące konta wyzwalają weryfikację bcrypt, podczas gdy nieistniejące konta zwracają odpowiedź natychmiast.

Cockpit CMS 2.14.0 i wcześniejsze zawiera podatność na wstrzykiwanie poleceń w integracji z FFmpeg, która pozwala uwierzytelnionym użytkownikom z uprawnieniem tylko do przesyłania zasobów (assets/upload) na wykonanie dowolnych poleceń poprzez przesłanie pliku wideo z nazwą zawierającą metaznaki powłoki. Niesanityzowana nazwa pliku jest interpolowana do polecenia powłoki wykonywanego przez Process::fromShellCommandline() przed uruchomieniem sanityzatora slugify(), umożliwiając wstrzykniętym metaznakom powłoki, takim jak backticks, $() i średniki, wydostanie się z kontekstu polecenia FFmpeg i wykonanie jako użytkownik serwera WWW.

Podatność nieograniczonego przesyłania plików w Cockpit CMS 2.6.0 pozwala uwierzytelnionym użytkownikom na przesyłanie plików o dowolnym rozszerzeniu, w tym skryptów PHP, przez endpoint przesyłania zasobów. Konfiguracja allowed_uploads domyślnie używa wildcarda, a pliki są przechowywane w katalogu dostępnym z sieci.

W Cockpit CMS wykryto podatność typu path traversal w API przechowywania plików Bucket (/system/buckets/api). Funkcja api() w pliku modules/System/Controller/Buckets.php oczyszcza nazwę bucketa za pomocą preg_replace('/[^a-zA-Z0-9-_\.]/','', $bucket), co pozwala na pozostawienie sekwencji '..' i '../'. Oczyszczona wartość jest interpolowana do ścieżki Flysystem jako uploads://buckets/{bucket}, a normalizator WhitespacePathNormalizer rozwiązuje 'buckets/..' do pustego łańcucha (katalog główny uploads) bez zgłaszania PathTraversalDetected, ponieważ '..' ma poprzedzający komponent do skonsumowania.

W Cockpit CMS wykryto brak autoryzacji w API przechowywania plików Bucket (/system/buckets/api). Metoda api() w pliku modules/System/Controller/Buckets.php wykonuje polecenia na zasobnikach (ls, upload, removefiles, rename, createfolder) bez sprawdzania ACL lub roli użytkownika. Każdy uwierzytelniony użytkownik, niezależnie od roli, może wykonywać wszystkie operacje na dowolnym zasobniku, w tym przeznaczonym wyłącznie dla administratorów.

Cockpit CMS do wersji 2.14.0 zawiera podatność na path traversal i lokalne dołączanie plików (LFI). Nieuwierzytelniony atakujący może odczytać dowolne pliki lub wykonać kod PHP, wykorzystując niesprawdzoną ścieżkę PATH_INFO z REQUEST_URI przy konstrukcji ścieżki systemowej.

W Cockpit CMS do wersji 0.12.2 wykryto podatność w funkcji Spyc::YAMLLoad pliku /config/config.yaml komponentu htaccess Handler. Manipulacja ta prowadzi do nieautoryzowanego dostępu do plików lub katalogów. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Cockpit CMS do wersji 2.14.0 zawiera podatność na trwałe XSS w polu typu Set, w opcji szablonu wyświetlania. Ciąg szablonu jest przetwarzany przez funkcję $interpolate za pomocą new Function() i renderowany przez Vue v-html bez sanityzacji, co pozwala atakującemu z uprawnieniami content/:models/manage na wstrzyknięcie dowolnego kodu JavaScript.