CVE-2026-72551
WysokieCVSS 8.8Streszczenie
Podatność zdalnego wykonania kodu w Apioo Fusio 8.8.3 pozwala uwierzytelnionym użytkownikom z rolą Developer na wykonanie dowolnych poleceń systemu operacyjnego poprzez obejście listy dozwolonych funkcji w PHP-Sandbox. Lista dozwolonych funkcji piaskownicy dopuszcza funkcje, które pośrednio wywołują system(), umożliwiając developerowi ucieczkę z piaskownicy i uzyskanie wykonania poleceń OS na serwerze. Atakujący z kontem roli Developer może osiągnąć pełną kompromitację serwera.
Ocena ryzyka
Ryzyko obejmuje pełną kompromitację serwera, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych i dalszych ataków na infrastrukturę. Jest to krytyczna podatność wymagająca natychmiastowego działania.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawki lub ograniczenie uprawnień roli Developer, a także wdrożenie dodatkowych zabezpieczeń piaskownicy. Należy również monitorować działania użytkowników z tą rolą.
Oryginalny opis (angielski, źródło NVD)
A remote code execution vulnerability in Apioo Fusio 8.8.3 allows authenticated users with the Developer role to execute arbitrary OS commands by exploiting a PHP-Sandbox allow-list bypass. The sandbox allow-list permits functions that transitively invoke system(), enabling a developer to escape the sandbox and gain OS command execution on the server. An attacker with a Developer-role account can achieve full server compromise.