CVE-2026-86240

ŚrednieCVSS 4.7

Opublikowano: 07/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 07/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 31 - wyżej niż 31% wszystkich znanych CVE

Streszczenie

W systemie liufee FeehiCMS (do wersji 2.1.1) wykryto podatność na server-side request forgery (SSRF) w funkcji catchImage w pliku backend/widgets/ueditor/Uploader.php (komponent UEditor). Manipulacja argumentem source[] prowadzi do SSRF. Atak może być wykonany zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie.

Ocena ryzyka

Atakujący może wysyłać żądania do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia danych lub ataków na inne systemy. Zdalny atak zwiększa ryzyko.

Rekomendacja

Zaleca się aktualizację do wersji zawierającej poprawkę lub ręczne zabezpieczenie walidacji URL. Należy monitorować projekt pod kątem odpowiedzi.

Inne podatności w liufee FeehiCMS

CVE-2026-86241Średnie
W systemie liufee FeehiCMS (do wersji 2.1.1) wykryto użycie twardo zakodowanego klucza kryptograficznego w pliku environments/prod/backend/config/main-local.php (komponent Cookie Validation). Manipulacja argumentem cookieValidationKey prowadzi do użycia twardo zakodowanego klucza. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in liufee FeehiCMS up to 2.1.1. This affects the function catchImage of the file backend/widgets/ueditor/Uploader.php of the component UEditor. The manipulation of the argument source[] results in server-side request forgery. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS