CVE-2026-55224

WysokieCVSS 8.7

Opublikowano: 30/09/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.15%

Percentyl 66 - wyżej niż 66% wszystkich znanych CVE

Streszczenie

MineAdmin przed wersją 3.2.0-alpha.2 ma podatność w usłudze sklepu z wtyczkami, gdzie niesanitizowane identyfikatory są łączone ze ścieżkami plików. Atakujący może użyć sekwencji przejścia do katalogów (np. ../) do odczytu, instalacji lub odinstalowania wtyczek z dowolnych katalogów oraz potencjalnie wykonać dowolne komendy composera.

Ocena ryzyka

Atakujący może uzyskać dostęp do wrażliwych plików, zmienić konfigurację systemu lub wykonać złośliwe komendy, co może prowadzić do pełnego przejęcia systemu.

Rekomendacja

Zaktualizuj MineAdmin do wersji 3.2.0-alpha.2 lub nowszej, która zawiera poprawkę bezpieczeństwa.

Inne podatności w MineAdmin

CVE-2025-65854Krytyczne
Podatność w funkcji zaplanowanych zadań MineAdmin v3.x wynika z nieprawidłowych uprawnień, co umożliwia atakującym wykonanie dowolnych poleceń i całkowite przejęcie konta.

Oryginalny opis (angielski, źródło NVD)

MineAdmin is a ready-to-use backend management system suitable for quickly building website backends, operation platforms, permission centers, internal management systems, CMS, CRM, OA, ERP and other business applications. Prior to version 3.2.0-alpha.2, the app-store plugin service concatenates unsanitized user-supplied identifier values directly into file system paths. An attacker can use path traversal sequences (e.g., ../) to read, install, or uninstall plugins from arbitrary directories, and potentially execute arbitrary composer commands. This issue has been patched in version 3.2.0-alpha.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS