CVE-2026-82665
NiskieCVSS 3.8Streszczenie
Wykryto podatność w yaojingang GEOFlow do wersji 2.1.0. Funkcja unlink w pliku ImageLibraryController.php komponentu Image Library Cleanup jest podatna na path traversal przez argument file_path. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Poprawka jest dostępna w wersji 2.1.1.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do plików systemowych, co może prowadzić do usunięcia lub odczytu wrażliwych danych.
Rekomendacja
Zaleca się aktualizację do wersji 2.1.1 lub zastosowanie poprawki 67abfd864a15d169a78429f3290c91cb3b93e849.
Inne podatności w GEOFlow
Zobacz wszystkie- CVE-2026-82667Średnie
Podatność znaleziona w yaojingang GEOFlow do wersji 2.1.0. Dotyczy funkcji DistributionController.isValidHttpEndpoint w pliku app/Services/GeoFlow/GenericHttpEndpointResolver.php. Manipulacja argumentem endpoint_url prowadzi do server-side request forgery. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Zalecane jest uaktualnienie do wersji 2.1.1. Nazwa poprawki to 67abfd864a15d169a78429f3290c91cb3b93e849.
- CVE-2026-82666Średnie
Wada znaleziona w yaojingang GEOFlow do wersji 2.1.0. Problem dotyczy funkcji preview w pliku app/Http/Controllers/Admin/SiteThemeEditorController.php komponentu Superadmin Theme Editor. Manipulacja argumentem blade powoduje wstrzyknięcie kodu. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty. Uaktualnienie do wersji 2.1.1 rozwiązuje ten problem. Nazwa poprawki: 67abfd864a15d169a78429f3290c91cb3b93e849.
- CVE-2026-82664Średnie
Wykryto podatność na cross-site scripting (XSS) w oprogramowaniu yaojingang GEOFlow do wersji 2.1.0. Podatność dotyczy nieznanej części pliku app/Http/Controllers/Site/HomeController.php w komponencie JSON-LD Theme Handler. Manipulacja argumentem Search umożliwia zdalne wykonanie ataku XSS. Publicznie ujawniono exploit, a aktualizacja do wersji 2.1.1 łagodzi problem.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in yaojingang GEOFlow up to 2.1.0. This vulnerability affects the function unlink of the file app/Http/Controllers/Admin/ImageLibraryController.php of the component Image Library Cleanup. The manipulation of the argument file_path results in path traversal. The attack may be performed from remote. The exploit is now public and may be used. Upgrading to version 2.1.1 is able to resolve this issue. The patch is identified as 67abfd864a15d169a78429f3290c91cb3b93e849. It is recommended to upgrade the affected component.