CVE-2026-86665
WysokieCVSS 7.3Streszczenie
W oprogramowaniu aircheng-org iWebShop-5 do wersji 5.15 wykryto podatność w funkcji Update::index w pliku controllers/update.php, która prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
Ocena ryzyka
Osoba nieautoryzowana może zdalnie wywołać funkcje aktualizacji, co może prowadzić do nieautoryzowanych zmian w systemie lub naruszenia integralności danych.
Rekomendacja
Należy natychmiast ograniczyć dostęp do funkcji aktualizacji, wymusić autoryzację i rozważyć wyłączenie lub załatanie podatnego komponentu. Monitorować komunikaty o nowych wersjach i aktualizować oprogramowanie.
Inne podatności w iWebShop-5
Zobacz wszystkie- CVE-2026-86668Średnie
Wykryto podatność bezpieczeństwa w aircheng-org iWebShop-5 do wersji 5.15. Dotkniętym elementem jest funkcja uploadFile w pliku controllers/pic.php. Manipulacja argumentem outerSrc/selectPhoto prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-86667Średnie
W produkcie aircheng-org iWebShop-5 do wersji 5.15 wykryto podatność na wstrzykiwanie SQL w funkcji member_list pliku controllers/member.php poprzez manipulację argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86666Wysokie
W oprogramowaniu aircheng-org iWebShop-5 do wersji 5.15 wykryto podatność w funkcji upload_json/uploadFile w pliku controllers/pic.php, która umożliwia nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany o problemie, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in aircheng-org iWebShop-5 up to 5.15. This issue affects the function Update::index of the file controllers/update.php. The manipulation leads to missing authorization. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.