CVE-2026-80138
KrytyczneCVSS 9.8Streszczenie
Instalator internetowy ClipBucket V5 nie waliduje ani nie escapuje parametru php_cli_filepath przed przekazaniem go do wykonania w powłoce. Nieuwierzytelnieni atakujący mogą wysłać spreparowane żądanie POST do instalatora z złośliwą wartością php_cli_filepath, aby wykonać dowolne polecenia jako użytkownik serwera WWW.
Ocena ryzyka
Ryzyko przejęcia kontroli nad serwerem WWW i wykonania dowolnego kodu bez uwierzytelnienia, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj ClipBucket do najnowszej wersji, która zawiera poprawkę. Jeśli to możliwe, ogranicz dostęp do instalatora tylko dla zaufanych adresów IP.
Oryginalny opis (angielski, źródło NVD)
ClipBucket V5's web installer fails to properly validate or escape the php_cli_filepath parameter before passing it to shell execution. Unauthenticated attackers can submit a crafted POST request to the installer with a malicious php_cli_filepath value to execute arbitrary commands as the web server user.