CVE-2026-6496
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W prasathmani TinyFileManager do wersji 2.6 manipulacja argumentem file[] w pliku /filemanager.php prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może uzyskać dostęp do plików poza zamierzonym katalogiem, potencjalnie odczytując lub modyfikując wrażliwe dane. Brak reakcji producenta oznacza brak oficjalnej poprawki.
Rekomendacja
Ogranicz dostęp do aplikacji i rozważ wdrożenie własnych poprawek lub zastąpienie komponentu. Nie wystawiaj menedżera plików na niezaufane sieci.
Inne podatności w TinyFileManager
Zobacz wszystkie- CVE-2026-116044Średnie
Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-108801Średnie
Wada bezpieczeństwa w TinyFileManager do wersji 2.6 umożliwia nieograniczone przesyłanie plików przez funkcję move_uploaded_file w pliku tinyfilemanager.php, manipulując argumentem fullpath. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-6497Średnie
W prasathmani TinyFileManager do wersji 2.6 wykryto podatność w nieznanej funkcjonalności pliku /filemanager.php?p= ajax=true&type=upload komponentu File Upload Handler. Manipulacja argumentem uploadurl prowadzi do server-side request forgery, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany; producent nie odpowiedział na zgłoszenie.
- CVE-2025-15138Średnie
W TinyFileManager do wersji 2.6 znaleziono podatność na przejście ścieżki (path traversal) w pliku tinyfilemanager.php. Manipulacja argumentem fullpath umożliwia zdalny atak. Wykorzystanie zostało opublikowane, a dostawca nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in prasathmani TinyFileManager up to 2.6. Affected is an unknown function of the file /filemanager.php of the component POST Parameter Handler. The manipulation of the argument file[] results in path traversal. The attack may be performed from remote. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS