CVE-2026-72592
KrytyczneCVSS 9.8Streszczenie
Nieograniczone przesyłanie plików w dulldusk/phpfm do wersji 1.8.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu na wykonanie dowolnego kodu PHP na serwerze. Aplikacja domyślnie nie filtruje rozszerzeń przesyłanych plików i nie wymaga uwierzytelnienia, co umożliwia przesłanie webshella PHP i jego wykonanie.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem, wykonując dowolny kod, co prowadzi do naruszenia integralności systemu, kradzieży danych i potencjalnego wykorzystania serwera do dalszych ataków.
Rekomendacja
Należy zaktualizować phpfm do wersji z poprawką, włączyć uwierzytelnianie oraz skonfigurować listę dozwolonych rozszerzeń plików, aby zapobiec przesyłaniu plików wykonywalnych.
Oryginalny opis (angielski, źródło NVD)
An unrestricted file upload vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to execute arbitrary PHP code on the server. The application ships with an empty upload extension filter ($upload_ext_filter = array()) and no authentication enabled by default (auth_pass is empty string), allowing an unauthenticated attacker to upload a PHP webshell and execute it by browsing to the uploaded path.