CVE-2026-70374

WysokieCVSS 8.8

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 10/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.97%

Percentyl 59 - wyżej niż 59% wszystkich znanych CVE

Streszczenie

Podatność w HashBrown CMS (do wersji 1.4.6) umożliwia wstrzyknięcie komend systemu operacyjnego (CWE-78) w procedurze generowania miniatur podczas przesyłania multimediów. Funkcja Media.generateThumbnail w src/Server/Entity/Resource/Media.js tworzy ścieżkę tymczasową jako 'thumbnail' + Path.extname(filename) i przekazuje ją bez escapowania do komendy powłoki wykonywanej przez AppService.exec ('convert ' + tempFile + ...).

Ocena ryzyka

Atakujący może wykonać dowolne komendy systemowe na serwerze, co może prowadzić do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaktualizuj HashBrown CMS do wersji nowszej niż 1.4.6 lub zastosuj odpowiednie poprawki zabezpieczające.

Inne podatności w HashBrown CMS

CVE-2026-70375Wysokie
Podatność w systemie HashBrown CMS do wersji 1.4.6 zawiera podatność na wstrzyknięcie poleceń systemu operacyjnego (CWE-78) w komponencie Git deployer. Funkcja GitDeployer.pullRepo w src/Server/Entity/Deployer/GitDeployer.js wykonuje AppService.exec, interpolując skonfigurowaną wartość gałęzi bezpośrednio do polecenia powłoki bez escapowania.

Oryginalny opis (angielski, źródło NVD)

HashBrown CMS through 1.4.6 contains an OS Command Injection vulnerability (CWE-78) in the media upload thumbnail generation routine. Media.generateThumbnail in src/Server/Entity/Resource/Media.js builds a temporary file path as 'thumbnail' + Path.extname(filename) and passes it, unescaped, into a shell command executed via AppService.exec ('convert ' + tempFile + ...).