CVE-2026-72592
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
phpfm do wersji 1.8.0 zawiera podatność na nieograniczone przesyłanie plików, która pozwala nieuwierzytelnionemu atakującemu na przesłanie pliku PHP (webshell) i wykonanie go na serwerze. Aplikacja domyślnie nie ma uwierzytelniania i filtr rozszerzeń jest pusty.
Ocena ryzyka
Atakujący może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Włącz uwierzytelnianie, skonfiguruj dozwolone rozszerzenia plików i zaktualizuj phpFM do wersji z poprawką.
Inne podatności w phpfm
Zobacz wszystkie- CVE-2026-72593Krytyczne
phpfm do wersji 1.8.0 zawiera podatność na brak uwierzytelnienia, która pozwala nieuwierzytelnionemu zdalnemu atakującemu na pełny dostęp do menedżera plików, w tym odczyt, zapis, usuwanie i przesyłanie plików w całym systemie plików serwera.
- CVE-2023-53894Krytyczne
phpfm 1.7.9 zawiera podatność obejścia uwierzytelniania, która pozwala atakującym zalogować się, wykorzystując luźne porównanie typów w walidacji hasła. Atakujący mogą spreparować określone hasła zaczynające się od 0e lub 00e, aby obejść uwierzytelnianie i przesłać złośliwe pliki PHP na serwer.
Oryginalny opis (angielski, źródło NVD)
An unrestricted file upload vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to execute arbitrary PHP code on the server. The application ships with an empty upload extension filter ( = array) and no authentication enabled by default (auth_pass is empty string), allowing an unauthenticated attacker to upload a PHP webshell and execute it by browsing to the uploaded path.