CVE-2026-61524

WysokieCVSS 7.2

Opublikowano: 03/08/2026(UTC)Zaktualizowano: 03/08/2026(UTC)Przetłumaczono: 04/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.56%

Percentyl 43 - wyżej niż 43% wszystkich znanych CVE

Streszczenie

WebsiteBaker CMS przed wersją 2.13.10 pozwala uwierzytelnionym administratorom na przesyłanie spreparowanych archiwów ZIP z webshellem PHP podczas instalacji modułów. Po rozpakowaniu webshell jest dostępny dla każdego nieuwierzytelnionego użytkownika przez HTTP.

Ocena ryzyka

Atakujący administrator może uzyskać zdalne wykonanie kodu, a następnie każdy nieuwierzytelniony użytkownik może uruchomić webshell, co prowadzi do pełnej kompromitacji serwera CMS.

Rekomendacja

Zaktualizuj WebsiteBaker CMS do wersji 2.13.10 lub nowszej. Ogranicz uprawnienia administratorów i weryfikuj przesyłane archiwa.

Inne podatności w WebsiteBaker CMS

CVE-2026-61523Wysokie
WebsiteBaker CMS przed wersją 2.13.10 ma podatność na wstrzyknięcie kodu w edytorze Droplets. Uwierzytelniony administrator może zapisać dowolny kod PHP w polu Code, który jest zapisywany do publicznie dostępnego pliku, umożliwiając zdalne wykonanie kodu przez nieuwierzytelnionych użytkowników.

Oryginalny opis (angielski, źródło NVD)

WebsiteBaker CMS before 2.13.10 contains an unrestricted file upload vulnerability in the module installation feature that allows authenticated administrators to achieve remote code execution by uploading a crafted ZIP archive containing a PHP webshell alongside a valid info.php metadata file. Attackers can place the malicious archive through the module installation interface, causing the application to extract the webshell into a web-accessible modules/ subdirectory where it becomes immediately executable by any unauthenticated user via direct HTTP request.