CVE-2026-82678
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 74 - wyżej niż 74% wszystkich znanych CVE
Streszczenie
W projekcie diem-project diem do wersji 5.1.3 zidentyfikowano podatność. Dotkniętym elementem jest funkcja executeCommand w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php komponentu Administrative Console. Manipulacja argumentem dm_command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.
Ocena ryzyka
Wstrzyknięcie poleceń systemu operacyjnego może umożliwić atakującemu wykonanie dowolnych poleceń na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych lub przerwania działania usług. Publicznie dostępny exploit zwiększa ryzyko ataku.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do konsoli administracyjnej i walidację argumentu dm_command. Należy również rozważyć aktualizację do wersji, która zawiera poprawkę, jeśli taka istnieje, lub tymczasowe wyłączenie funkcji.
Inne podatności w diem
Zobacz wszystkie- CVE-2026-86183Średnie
Podatność w diem-project diem do wersji 5.1.3 dotyczy nieznanego kodu w pliku dmFrontPlugin/modules/dmWidget/lib/BasedmWidgetActions.class.php komponentu dmWidget. Manipulacja argumentem widget_id prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny. Łata o nazwie 116974edfb9a5b8bd69cb13586dc62bcdbb485ad powinna zostać zastosowana.
- CVE-2026-86182Średnie
Podatność w diem-project diem do wersji 5.1.3 dotyczy funkcji executeCommand w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php komponentu dmConsole. Manipulacja argumentem dm_command prowadzi do cross-site request forgery (CSRF). Atak może być zainicjowany zdalnie, exploit został publicznie ujawniony. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2026-82679Średnie
W projekcie diem-project diem do wersji 5.1.3 odkryto wadę bezpieczeństwa. Dotkniętym elementem jest nieznana funkcja w pliku dmFrontPlugin/lib/dmWidget/media/dmWidgetContentBaseMediaForm.php komponentu Widget Editor. Przeprowadzenie manipulacji prowadzi do nieograniczonego przesyłania plików. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in diem-project diem up to 5.1.3. The affected element is the function executeCommand of the file dmAdminPlugin/modules/dmConsole/actions/actions.class.php of the component Administrative Console. Such manipulation of the argument dm_command leads to os command injection. The attack can be launched remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.