CVE-2026-45053
KrytyczneStreszczenie
CubeCart przed wersją 6.7.0 zawierał podatność na uwierzytelnione przesyłanie dowolnych plików w punkcie końcowym REST API File Manager. Umożliwia to osobom posiadającym klucz API z uprawnieniami files:rw przesyłanie plików PHP do katalogu images/source/, gdzie są one wykonywane przez serwer WWW.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa systemu i danych organizacji. Atakujący może uzyskać pełną kontrolę nad serwerem, co może skutkować utratą danych lub naruszeniem prywatności.
Rekomendacja
Zaleca się aktualizację CubeCart do wersji 6.7.0 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy ograniczyć dostęp do API tylko do zaufanych użytkowników oraz monitorować logi serwera w celu wykrycia nieautoryzowanych działań.
Oryginalny opis (angielski, źródło NVD)
CubeCart is an ecommerce software solution. Prior to 6.7.0, an Authenticated Arbitrary File Upload vulnerability exists in the REST API File Manager endpoint (POST /api/v1/files) of CubeCart. The endpoint allows any holder of an API key with files:rw permission to upload PHP source files into the web-accessible images/source/ directory, where they are executed by the web server. Combined with a path-traversal flaw in the same endpoint's filepath parameter, a single API request writes a webshell anywhere the webserver process can write — including the document root — yielding full Remote Code Execution. This vulnerability is fixed in 6.7.0.