CVE-2026-6847
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Podatność zdalnego wykonania kodu w ThemisNETPanel wynika z braku uwierzytelniania dla krytycznej funkcji przesyłania plików. Niezautoryzowany atakujący może przesłać dowolny plik PHP, kodując go w base64, a następnie wykonać kod na serwerze. Problem został naprawiony w łatce wydanej w kwietniu 2026 roku.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie serwera przez atakującego, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub wykorzystania serwera do dalszych ataków.
Rekomendacja
Zaleca się natychmiastowe zastosowanie łatki wydanej w kwietniu 2026 roku oraz wdrożenie uwierzytelniania dla wszystkich funkcji przesyłania plików w ThemisNETPanel.
Oryginalny opis (angielski, źródło NVD)
Remote Code Execution vulnerability exists in ThemisNETPanel due to missing authentication for a critical file upload function. The application exposes an endpoint that allows unauthenticated attackers to upload arbitrary PHP files by providing a base64-encoded payload and to execute arbitrary code on the underlying server. This issue has been fixed by a patch released in April 2026.