CVE-2026-82679
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W projekcie diem-project diem do wersji 5.1.3 odkryto wadę bezpieczeństwa. Dotkniętym elementem jest nieznana funkcja w pliku dmFrontPlugin/lib/dmWidget/media/dmWidgetContentBaseMediaForm.php komponentu Widget Editor. Przeprowadzenie manipulacji prowadzi do nieograniczonego przesyłania plików. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.
Ocena ryzyka
Nieograniczone przesyłanie plików może umożliwić atakującemu wgranie złośliwych plików na serwer, co może prowadzić do wykonania kodu, przejęcia kontroli nad serwerem lub rozprzestrzeniania złośliwego oprogramowania. Publicznie dostępny exploit zwiększa ryzyko ataku.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do komponentu Widget Editor i wdrożenie mechanizmów walidacji przesyłanych plików. Należy również monitorować logi pod kątem podejrzanych przesyłań i rozważyć tymczasowe wyłączenie funkcji, jeśli to możliwe.
Inne podatności w diem
Zobacz wszystkie- CVE-2026-86183Średnie
Podatność w diem-project diem do wersji 5.1.3 dotyczy nieznanego kodu w pliku dmFrontPlugin/modules/dmWidget/lib/BasedmWidgetActions.class.php komponentu dmWidget. Manipulacja argumentem widget_id prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny. Łata o nazwie 116974edfb9a5b8bd69cb13586dc62bcdbb485ad powinna zostać zastosowana.
- CVE-2026-86182Średnie
Podatność w diem-project diem do wersji 5.1.3 dotyczy funkcji executeCommand w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php komponentu dmConsole. Manipulacja argumentem dm_command prowadzi do cross-site request forgery (CSRF). Atak może być zainicjowany zdalnie, exploit został publicznie ujawniony. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2026-82678Średnie
W projekcie diem-project diem do wersji 5.1.3 zidentyfikowano podatność. Dotkniętym elementem jest funkcja executeCommand w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php komponentu Administrative Console. Manipulacja argumentem dm_command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in diem-project diem up to 5.1.3. The impacted element is an unknown function of the file dmFrontPlugin/lib/dmWidget/media/dmWidgetContentBaseMediaForm.php of the component Widget Editor. Performing a manipulation results in unrestricted upload. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.