CVE-2026-77939
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Flextype CMS do wersji v1.0.0-dev zawiera podatność na wstrzyknięcie języka wyrażeń, która pozwala uwierzytelnionym atakującym z ważnym tokenem API na odczyt dowolnych plików poprzez przekazanie nieoczyszczonych danych wejściowych do silnika Symfony ExpressionLanguage przez endpoint POST /api/v1/query. Atakujący mogą wykorzystać wystawione obiekty aplikacji, w tym filesystem() i serializers(), w zakresie oceny, aby odczytać dowolne pliki serwera i osiągnąć warunkowe zdalne wykonanie kodu, jeśli plik PHP może zostać umieszczony na dysku przez wektor dodatkowy.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany odczyt wrażliwych plików z serwera, co może prowadzić do ujawnienia danych, a w sprzyjających warunkach do zdalnego wykonania kodu. Może to skutkować pełną kompromitacją systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Flextype CMS do najnowszej wersji zawierającej poprawkę. Należy również ograniczyć dostęp do endpointu /api/v1/query oraz dokładnie sanityzować wszystkie dane wejściowe przekazywane do silnika wyrażeń.
Inne podatności w Flextype CMS
Zobacz wszystkie- CVE-2026-91751Wysokie
Flextype CMS do wersji 1.0.0-alpha.3 nie waliduje poprawnie parametrów id i new_id w API REST Entries, co umożliwia posiadaczom tokenów API odczyt, tworzenie lub nadpisywanie plików poza katalogiem wpisów. Atakujący mogą użyć sekwencji przejść w żądaniach API, aby wydostać się poza katalog wpisów i manipulować dowolnymi plikami i katalogami w systemie plików.
- CVE-2026-89145Średnie
Flextype CMS w wersjach 0.9.9 do 1.0.0-alpha.3 nie escapuje znaków HTML w nazwach katalogów wtyczek na stronie błędu zależności generowanej przez getValidPluginsDependencies(). Atakujący z prawem zapisu do katalogu wtyczek może utworzyć wtyczkę o nazwie zawierającej znaki HTML, co prowadzi do wykonania dowolnych skryptów w przeglądarkach użytkowników, gdy walidacja zależności zakończy się niepowodzeniem.
- CVE-2026-88897Średnie
Flextype CMS do wersji 1.0.0-alpha.3 przyjmuje dane uwierzytelniające API przez parametry query string w trasach REST API. Atakujący mający dostęp do logów serwera web, proxy lub monitoringu może odzyskać ważne pary tokenów API dające pełny dostęp do API.
Oryginalny opis (angielski, źródło NVD)
Flextype CMS through v1.0.0-dev contains an expression language injection vulnerability that allows authenticated attackers with a valid API token to read arbitrary files by passing unsanitized user-supplied input to the Symfony ExpressionLanguage engine via the POST /api/v1/query endpoint. Attackers can leverage exposed application objects including filesystem() and serializers() within the evaluation scope to read arbitrary server files and achieve conditional remote code execution if a PHP file can be placed on disk through a secondary vector.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS