CVE-2026-86182
ŚrednieCVSS 4.3Streszczenie
Podatność w diem-project diem do wersji 5.1.3 dotyczy funkcji executeCommand w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php komponentu dmConsole. Manipulacja argumentem dm_command prowadzi do cross-site request forgery (CSRF). Atak może być zainicjowany zdalnie, exploit został publicznie ujawniony. Projekt został poinformowany, ale nie odpowiedział.
Ocena ryzyka
CSRF może pozwolić atakującemu na wykonanie nieautoryzowanych poleceń w kontekście sesji administratora, co może prowadzić do przejęcia kontroli nad systemem lub modyfikacji konfiguracji.
Rekomendacja
Zastosuj poprawki lub środki łagodzące, takie jak weryfikacja tokenów CSRF, oraz monitoruj publiczne exploity. Skontaktuj się z dostawcą w celu uzyskania oficjalnej łatki.
Inne podatności w diem
Zobacz wszystkie- CVE-2026-86183Średnie
Podatność w diem-project diem do wersji 5.1.3 dotyczy nieznanego kodu w pliku dmFrontPlugin/modules/dmWidget/lib/BasedmWidgetActions.class.php komponentu dmWidget. Manipulacja argumentem widget_id prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny. Łata o nazwie 116974edfb9a5b8bd69cb13586dc62bcdbb485ad powinna zostać zastosowana.
- CVE-2026-82679Średnie
W projekcie diem-project diem do wersji 5.1.3 odkryto wadę bezpieczeństwa. Dotkniętym elementem jest nieznana funkcja w pliku dmFrontPlugin/lib/dmWidget/media/dmWidgetContentBaseMediaForm.php komponentu Widget Editor. Przeprowadzenie manipulacji prowadzi do nieograniczonego przesyłania plików. Atak może być zainicjowany zdalnie. Exploit został opublikowany i może być wykorzystany do ataków. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.
- CVE-2026-82678Średnie
W projekcie diem-project diem do wersji 5.1.3 zidentyfikowano podatność. Dotkniętym elementem jest funkcja executeCommand w pliku dmAdminPlugin/modules/dmConsole/actions/actions.class.php komponentu Administrative Console. Manipulacja argumentem dm_command prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in diem-project diem up to 5.1.3. This affects the function executeCommand of the file dmAdminPlugin/modules/dmConsole/actions/actions.class.php of the component dmConsole. This manipulation of the argument dm_command causes cross-site request forgery. The attack may be initiated remotely. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.