CVE-2026-86241

ŚrednieCVSS 4.3

Opublikowano: 07/09/2026(UTC)Zaktualizowano: 28/09/2026(UTC)Przetłumaczono: 07/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.49%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

W systemie liufee FeehiCMS (do wersji 2.1.1) wykryto użycie twardo zakodowanego klucza kryptograficznego w pliku environments/prod/backend/config/main-local.php (komponent Cookie Validation). Manipulacja argumentem cookieValidationKey prowadzi do użycia twardo zakodowanego klucza. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie.

Ocena ryzyka

Atakujący może podrobić ciasteczka sesji lub uzyskać nieautoryzowany dostęp do kont. Zdalny atak zwiększa ryzyko.

Rekomendacja

Zaleca się zmianę klucza cookieValidationKey na losowy i unikalny. Należy również monitorować projekt pod kątem odpowiedzi.

Inne podatności w liufee FeehiCMS

CVE-2026-86240Średnie
W systemie liufee FeehiCMS (do wersji 2.1.1) wykryto podatność na server-side request forgery (SSRF) w funkcji catchImage w pliku backend/widgets/ueditor/Uploader.php (komponent UEditor). Manipulacja argumentem source[] prowadzi do SSRF. Atak może być wykonany zdalnie, a exploit został publicznie udostępniony. Projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in liufee FeehiCMS up to 2.1.1. This impacts an unknown function of the file environments/prod/backend/config/main-local.php of the component Cookie Validation. This manipulation of the argument cookieValidationKey causes use of hard-coded cryptographic key . The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS