CVE-2026-86670
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W systemie aircheng-org iWebShop-5 do wersji 5.15 występuje podatność w pliku controllers/admin.php komponentu Authentication Storage. Manipulacja argumentem Password prowadzi do użycia hasha hasła o niewystarczającym nakładzie obliczeniowym. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysokim poziomem złożoności i jest trudny do wykorzystania. Exploit został opublikowany i może być użyty. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego złamania haseł użytkowników z powodu słabego haszowania, co może prowadzić do nieautoryzowanego dostępu do kont.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do panelu administracyjnego, monitorowanie logów oraz kontakt z producentem w celu uzyskania poprawki lub rozważenie migracji na inne rozwiązanie.
Inne podatności w iWebShop-5
Zobacz wszystkie- CVE-2026-86669Wysokie
W systemie aircheng-org iWebShop-5 do wersji 5.15 wykryto podatność w funkcji Login pliku controllers/systemseller.php. Manipulacja argumentem Name powoduje nieprawidłowe uwierzytelnienie. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86668Średnie
Wykryto podatność bezpieczeństwa w aircheng-org iWebShop-5 do wersji 5.15. Dotkniętym elementem jest funkcja uploadFile w pliku controllers/pic.php. Manipulacja argumentem outerSrc/selectPhoto prowadzi do cross site scripting. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt został poinformowany o problemie wcześnie przez zgłoszenie, ale nie odpowiedział jeszcze.
- CVE-2026-86667Średnie
W produkcie aircheng-org iWebShop-5 do wersji 5.15 wykryto podatność na wstrzykiwanie SQL w funkcji member_list pliku controllers/member.php poprzez manipulację argumentem Search. Atak może być przeprowadzony zdalnie, a exploit został publicznie udostępniony. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86666Wysokie
W oprogramowaniu aircheng-org iWebShop-5 do wersji 5.15 wykryto podatność w funkcji upload_json/uploadFile w pliku controllers/pic.php, która umożliwia nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-86665Wysokie
W oprogramowaniu aircheng-org iWebShop-5 do wersji 5.15 wykryto podatność w funkcji Update::index w pliku controllers/update.php, która prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Projekt został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in aircheng-org iWebShop-5 up to 5.15. This impacts an unknown function of the file controllers/admin.php of the component Authentication Storage. Executing a manipulation of the argument Password can lead to password hash with insufficient computational effort. It is possible to launch the attack remotely. A high complexity level is associated with this attack. The exploitability is said to be difficult. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS