CVE-2026-54611

ŚrednieCVSS 5.5

Opublikowano: 08/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.52%

Percentyl 42 - wyżej niż 42% wszystkich znanych CVE

Streszczenie

InstantCMS przed wersją 2.18.2 ma podatność na zdalne wykonanie kodu (RCE), która pozwala zdalnym uwierzytelnionym atakującym wykonać dowolny kod PHP przez instalator komponentów. Możliwe jest przesłanie złośliwego komponentu na serwer, który nie zostanie zainstalowany, ale przesłane pliki zostaną wykonane. Zwykle pliki PHP w folderze upload nie są wykonywane, ale przez przesłanie niestandardowego pliku .htaccess staje się to możliwe. Wersja 2.18.2 zawiera poprawkę.

Ocena ryzyka

Atakujący może przejąć kontrolę nad serwerem, co prowadzi do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaleca się natychmiastową aktualizację InstantCMS do wersji 2.18.2 lub nowszej.

Inne podatności w InstantCMS

CVE-2026-48707Niskie
InstantCMS w wersjach przed 2.18.2 zawiera podatność typu Server-Side Request Forgery (SSRF) w funkcji przesyłania plików (system/core/uploader.php, linie 509-532). Gdy funkcja "upload from URL" podąża za przekierowaniem HTTP, docelowy adres URL omija czarną listę prywatnych adresów IP. Umożliwia to uwierzytelnionym użytkownikom skanowanie i dostęp do wewnętrznych usług sieciowych. Wersja 2.18.2 zawiera poprawkę.

Oryginalny opis (angielski, źródło NVD)

InstantCMS is a free and open source content management system. Versions prior to 2.18.2 have a Remote Code Execution (RCE) issue that allows remote authenticated attackers to execute any PHP code via the component installer. It is possible to upload a malicious component into the server, however, it won't be installed, but upload files will be executed. Normally all php files in upload folder are not executed, however, by uploading custom .htaccess it becomes possible. Version 2.18.2 contains a fix.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS