CVE-2026-82921

WysokieCVSS 7.3

Opublikowano: 31/08/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

W ShopEx ECShop do wersji 2.5.1 wykryto podatność w funkcji check_img_type pliku admin/pack.php. Manipulacja argumentem pack_img prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Ocena ryzyka

Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do zdalnego wykonania kodu lub przejęcia kontroli nad serwerem.

Rekomendacja

Zaktualizuj ECShop do najnowszej wersji, jeśli dostępna. Ogranicz dostęp do panelu administracyjnego i waliduj typy przesyłanych plików.

Inne podatności w ShopEx ECShop

CVE-2026-82922Wysokie
W ShopEx ECShop do wersji 2.5.1 wykryto podatność SQL injection w funkcji flow_update_cart pliku /flow.php?step=update_cart. Manipulacja argumentem rec_id prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in ShopEx ECShop up to 2.5.1. This affects the function check_img_type of the file admin/pack.php. Executing a manipulation of the argument pack_img can lead to unrestricted upload. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS