CVE-2026-82666
ŚrednieCVSS 4.7Streszczenie
Wada znaleziona w yaojingang GEOFlow do wersji 2.1.0. Problem dotyczy funkcji preview w pliku app/Http/Controllers/Admin/SiteThemeEditorController.php komponentu Superadmin Theme Editor. Manipulacja argumentem blade powoduje wstrzyknięcie kodu. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być użyty. Uaktualnienie do wersji 2.1.1 rozwiązuje ten problem. Nazwa poprawki: 67abfd864a15d169a78429f3290c91cb3b93e849.
Ocena ryzyka
Ryzyko wstrzyknięcia kodu może prowadzić do wykonania dowolnego kodu na serwerze, co może skutkować pełną kompromitacją systemu.
Rekomendacja
Zaleca się aktualizację GEOFlow do wersji 2.1.1 lub nowszej, która zawiera poprawkę tej podatności.
Inne podatności w GEOFlow
Zobacz wszystkie- CVE-2026-82667Średnie
Podatność znaleziona w yaojingang GEOFlow do wersji 2.1.0. Dotyczy funkcji DistributionController.isValidHttpEndpoint w pliku app/Services/GeoFlow/GenericHttpEndpointResolver.php. Manipulacja argumentem endpoint_url prowadzi do server-side request forgery. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty. Zalecane jest uaktualnienie do wersji 2.1.1. Nazwa poprawki to 67abfd864a15d169a78429f3290c91cb3b93e849.
- CVE-2026-82665Niskie
Wykryto podatność w yaojingang GEOFlow do wersji 2.1.0. Funkcja unlink w pliku ImageLibraryController.php komponentu Image Library Cleanup jest podatna na path traversal przez argument file_path. Atak może być przeprowadzony zdalnie, a exploit jest publiczny. Poprawka jest dostępna w wersji 2.1.1.
- CVE-2026-82664Średnie
Wykryto podatność na cross-site scripting (XSS) w oprogramowaniu yaojingang GEOFlow do wersji 2.1.0. Podatność dotyczy nieznanej części pliku app/Http/Controllers/Site/HomeController.php w komponencie JSON-LD Theme Handler. Manipulacja argumentem Search umożliwia zdalne wykonanie ataku XSS. Publicznie ujawniono exploit, a aktualizacja do wersji 2.1.1 łagodzi problem.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in yaojingang GEOFlow up to 2.1.0. This issue affects the function preview of the file app/Http/Controllers/Admin/SiteThemeEditorController.php of the component Superadmin Theme Editor. This manipulation of the argument blade causes code injection. It is possible to initiate the attack remotely. The exploit has been published and may be used. Upgrading to version 2.1.1 is capable of addressing this issue. Patch name: 67abfd864a15d169a78429f3290c91cb3b93e849. Upgrading the affected component is advised.