CVE-2026-79426
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W CRMEB v6.0.0 występuje podatność na dowolne usuwanie plików w komponencie /adminapi/file/video_data_save. Uwierzytelniony atakujący może usunąć dowolne pliki poprzez spreparowane żądanie POST.
Ocena ryzyka
Ryzyko jest wysokie, ponieważ uwierzytelniony atakujący może usunąć krytyczne pliki systemowe, co może prowadzić do przerwy w działaniu aplikacji lub całkowitej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację CRMEB do najnowszej wersji, jeśli dostępna, oraz ograniczenie dostępu do panelu administracyjnego. Należy również regularnie tworzyć kopie zapasowe plików.
Inne podatności w CRMEB
Zobacz wszystkie- CVE-2026-85177Średnie
CRMEB do wersji 6.0.0 nie weryfikuje własności wiadomości w handlerze edit_message w MessageSystemController.php, co pozwala uwierzytelnionym użytkownikom na modyfikację dowolnych systemowych wiadomości w skrzynce odbiorczej. Atakujący mogą aktualizować dowolne kolumny wiadomości, w tym is_del, look i uid, aby usuwać, oznaczać jako przeczytane lub przypisywać powiadomienia ofiar bez autoryzacji.
- CVE-2023-30185Krytyczne
W systemie CRMEB w wersjach od 4.4 do 4.6 wykryto podatność umożliwiającą dowolne przesyłanie plików. Luka znajduje się w komponencie \attachment\SystemAttachmentServices.php.
- CVE-2020-25466Krytyczne
Podatność SSRF w interfejsie downloadimage systemu CRMEB 3.0 umożliwia zdalne pobieranie dowolnych plików z serwera oraz zdalne wykonanie dowolnego kodu.
- CVE-2026-85212Wysokie
CRMEB zawiera podatność na obejście uwierzytelniania w metodzie verifyAuth() w SystemRoleServices.php, która zwraca true z obu gałęzi warunkowych. Pod-administratorzy i konta bez ról mogą uzyskać dostęp do ograniczonych punktów końcowych administratora, wykorzystując nieaktywne sprawdzanie ról, które zawsze zezwala na żądania.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file deletion vulnerability in the /adminapi/file/video_data_save component of CRMEB v6.0.0 allows authenticated attackers to delete arbitrary files via crafted POST request.