CVE-2026-72593
KrytyczneCVSS 9.8Streszczenie
Brak uwierzytelniania w dulldusk/phpfm do wersji 1.8.0 pozwala nieuwierzytelnionemu zdalnemu atakującemu uzyskać pełny dostęp do menedżera plików, w tym odczyt, zapis, usuwanie i przesyłanie plików w całym systemie plików serwera. Sprawdzenie uwierzytelniania w index.php w linii 637 ocenia warunek, który w domyślnej konfiguracji zawsze zwraca prawdę, przyznając pełny dostęp bez poświadczeń.
Ocena ryzyka
Organizacja narażona jest na całkowitą kompromitację serwera, ponieważ atakujący może czytać, modyfikować i usuwać dowolne pliki, co może prowadzić do utraty danych, naruszenia poufności i przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować phpfm do najnowszej wersji lub zastosować poprawkę, a także skonfigurować silne hasło uwierzytelniające, aby uniemożliwić nieautoryzowany dostęp.
Oryginalny opis (angielski, źródło NVD)
A missing authentication vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to access the full file manager functionality including reading, writing, deleting, and uploading files anywhere on the server filesystem. The authentication check in index.php at line 637 evaluates 'if ($auth_pass == '' || $loggedon==$auth_pass)', and since auth_pass is an empty string in the default configuration, the condition always evaluates to true and grants full access without credentials.