CVE-2026-55573
KrytyczneCVSS 9.8Streszczenie
W systemie CMS e107 przed wersją 2.3.7 plik install.php dekoduje kontrolowany przez atakującego parametr POST previous_steps i przekazuje go do unserialize() na poziomie pliku oraz ponownie w konstruktorze e_install bez ograniczenia dozwolonych klas. Instalator pozostaje dostępny po normalnej instalacji, a spreparowany graf obiektów wykorzystujący dołączoną klasę GuzzleHttp\Psr7\PumpStream może przepłynąć przez paths.hash do site_path, gdzie koercja łańcucha wywołuje kontrolowaną przez atakującego funkcję. Nieuwierzytelniony atakujący, który może uzyskać dostęp do install.php, może zatem wykonać dowolne funkcje PHP z uprawnieniami procesu serwera WWW, prowadząc do pełnego przejęcia serwera.
Ocena ryzyka
Podatność pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu PHP w kontekście serwera WWW, co prowadzi do pełnego przejęcia serwera. Stanowi to krytyczne ryzyko dla poufności, integralności i dostępności.
Rekomendacja
Należy niezwłocznie zaktualizować e107 do wersji 2.3.7 lub nowszej. Do czasu aktualizacji zaleca się usunięcie lub zablokowanie dostępu do pliku install.php.
Inne podatności w e107
Zobacz wszystkie- CVE-2026-57859Wysokie
e107 przed wersją 2.3.8 zawiera podatność umożliwiającą wykonanie kodu w funkcji deserializacji e_array. Atakujący z dostępem do zapisu bazy danych może przechować spreparowany ładunek w kolumnie user_prefs, który po materializacji preferencji użytkownika zostanie przekazany do funkcji eval(), co prowadzi do automatycznego wykonania dowolnego kodu PHP.
- CVE-2016-10378Wysokie
e107 w wersji 2.1.1 umożliwia atak SQL injection przez zdalnych, uwierzytelnionych administratorów za pomocą parametru pagelist w pliku e107_admin/menus.php, związane z funkcją menuSaveVisibility.
- CVE-2026-55572Krytyczne
W systemie CMS e107 przed wersją 2.3.7 dołączony plugin alt_auth, w backendach uwierzytelniania otherdb i e107db, wstawia przesłaną nazwę użytkownika bezpośrednio do zapytań SQL w plikach e107_plugins/alt_auth/otherdb_auth.php i e107_plugins/alt_auth/e107db_auth.php. Metody login() wykonują te ciągi za pomocą PDO::query() przed skuteczną sanityzacją, więc nieuwierzytelniony użytkownik może wstrzyknąć SQL, gdy alt_auth jest zainstalowany, a którykolwiek backend jest skonfigurowany z aktywnym połączeniem do zewnętrznej bazy danych. Wstrzyknięcie może ujawnić lub zmodyfikować dane dostępne dla skonfigurowanego konta bazy danych, a błędy zapytań mogą dodatkowo ujawnić wygenerowane zapytanie przez ścieżkę komunikatów debugowania.
- CVE-2026-72599Krytyczne
Podatność na wstrzykiwanie SQL w e107 2.4.0. Nieuwierzytelniony atakujący może wykonywać dowolne zapytania SQL poprzez parametr ID strony wiadomości. Parametr jest konkatenowany bez escapowania do klauzuli WHERE.
- CVE-2026-43936Średnie
e107 CMS przed wersją 2.3.4 umożliwia dostęp do lokalnego środowiska poprzez podanie adresu URL lokalnego środowiska w polu "Image/File URL:" opcji "From a remote location" w Menedżerze multimediów na ekranie administratora. Luka została naprawiona w wersji 2.3.4.
- CVE-2026-43935Wysokie
W e107 przed 2.3.4 występuje podatność na wstrzykiwanie nagłówka Host w stronie resetowania hasła. Atakujący może wygenerować linki resetujące prowadzące do domeny atakującego.
- CVE-2026-43934Średnie
e107 to system zarządzania treścią (CMS). Przed wersją 2.3.4 istnieje podatność Broken Access Control, pozwalająca nieautoryzowanemu uwierzytelnionemu użytkownikowi na edytowanie komentarzy napisanych przez innych. Wynika to z niewystarczającej walidacji kontroli dostępu po stronie serwera, gdzie aplikacja polega tylko na przewidywalnym identyfikatorze w żądaniu do określenia, który komentarz edytować, bez potwierdzania własności komentarza przez żądającego użytkownika.
Oryginalny opis (angielski, źródło NVD)
e107 is a content management system (CMS). Prior to 2.3.7, install.php decodes the attacker-controlled previous_steps POST parameter and passes it to unserialize() at file scope and again in the e_install constructor without restricting allowed classes. The installer remains accessible after a normal installation, and a crafted object graph using the bundled GuzzleHttp\Psr7\PumpStream class can flow through paths.hash into site_path, where string coercion invokes an attacker-controlled callable. An unauthenticated attacker who can reach install.php can therefore execute arbitrary PHP functions with the web server process's privileges, leading to full server compromise. This issue is fixed in version 2.3.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS