CVE-2026-86239
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W FeehiCMS do wersji 2.1.1 wykryto podatność w komponencie UEditor Widget, w funkcji UeditorAction::init pliku backend/widgets/ueditor/UeditorAction.php. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Nieograniczone przesyłanie plików może umożliwić atakującemu wgranie złośliwego pliku na serwer, co może prowadzić do przejęcia kontroli nad systemem lub wykonania dowolnego kodu.
Rekomendacja
Zaleca się natychmiastowe zablokowanie dostępu do komponentu UEditor Widget oraz monitorowanie informacji o aktualizacjach producenta. Należy również ograniczyć możliwość przesyłania plików tylko do zaufanych użytkowników.
Inne podatności w FeehiCMS
Zobacz wszystkie- CVE-2026-51953Wysokie
FeehiCMS w wersji 2.1.1 zawiera podatność w module zarządzania sesjami, logice uwierzytelniania i komponentach obsługi wylogowania, która pozwala atakującemu na eskalację uprawnień.
- CVE-2025-65657Średnie
FeehiCMS w wersji 2.1.1 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez nieograniczone przesyłanie plików w module zarządzania reklamami. Uwierzytelniony zdalny atakujący może przesłać spreparowany plik PHP, który następnie zostanie wykonany przez serwer.
- CVE-2025-63523Średnie
FeehiCMS w wersji 2.1.1 nie wymusza niezmienności po stronie serwera dla parametrów prezentowanych klientom jako "tylko do odczytu". Uwierzytelniony atakujący może przechwycić i zmodyfikować parametr w tranzycie, a backend akceptuje zmiany, co może prowadzić do nieoczekiwanych zmian nazwy użytkownika.
- CVE-2025-63522Średnie
W FeehiCMS 2.1.1 występuje podatność Reverse Tabnabbing w funkcji Comments Management. Linki otwierane w nowej karcie mogą pozwolić na przejęcie kontroli nad kartą źródłową.
- CVE-2025-63520Średnie
Podatność typu Cross Site Scripting (XSS) w FeehiCMS 2.1.1 poprzez parametr id w funkcji aktualizacji użytkownika (?r=user%2Fupdate).
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in liufee FeehiCMS up to 2.1.1. The impacted element is the function UeditorAction::init of the file backend/widgets/ueditor/UeditorAction.php of the component UEditor Widget. The manipulation leads to unrestricted upload. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS