CVE-2026-88419
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W WuzhiCMS 5.0.0 występuje nieograniczone przesyłanie plików o niebezpiecznym typie w punkcie końcowym przesyłania miniatur (/index.php?m=member&f=article&v=thumbUpload), co pozwala uwierzytelnionemu użytkownikowi o niskich uprawnieniach na przesłanie spreparowanego pliku .php i wykonanie dowolnego kodu PHP na serwerze.
Ocena ryzyka
Atakujący może wykonać złośliwy kod PHP na serwerze, co może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych lub dalszych ataków.
Rekomendacja
Zastosuj poprawki lub ogranicz dostęp do punktu przesyłania plików, a także wdróż walidację typów plików.
Inne podatności w WuzhiCMS
Zobacz wszystkie- CVE-2026-92380Wysokie
WuzhiCMS do wersji 4.1.0 zawiera podatność SSRF w funkcji ckditor::saveRemote w pliku coreframe/app/attachment/index.php (komponent Remote Image Fetch). Manipulacja argumentem source[] umożliwia zdalne żądania po stronie serwera.
- CVE-2026-94102Średnie
Wykryto podatność w WuzhiCMS do wersji 4.1.0 w pliku /index.php?m=member&v=Login (komponent Login). Manipulacja argumentem forward prowadzi do otwartego przekierowania. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-91849Średnie
W WuzhiCMS do wersji 4.1.0 odkryto lukę w zabezpieczeniach. Dotyczy ona funkcji member::setAvatar w pliku /index.php?m=member&f=user&v=setAvatar komponentu Avatar Upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików.
- CVE-2026-91848Wysokie
W WuzhiCMS do wersji 4.1.0 zidentyfikowano lukę w funkcji article::getDataOfJson w pliku /index.php?m=content&f=article&v=getDataOfJson. Manipulacja argumentami title/master_table prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
- CVE-2026-15530Średnie
W WuzhiCMS do wersji 4.1.0 stwierdzono podatność w komponencie Attachment API. Funkcja config/listimage w pliku /index.php?m=attachment&f=index&v=upload umożliwia manipulację prowadzącą do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2024-32206Średnie
W WUZHICMS v4.1.0 w komponencie /affiche/admin/index.php występuje podatność na trwałe XSS. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML przez parametr $formdata.
Oryginalny opis (angielski, źródło NVD)
An unrestricted upload of files with a dangerous type in the thumbnail-upload endpoint (/index.php?m=member&f=article&v=thumbUpload) of WuzhiCMS 5.0.0 allows an authenticated low-privileged member to upload a crafted .php file and execute arbitrary PHP code on the server, because the stored file extension is taken verbatim from the client-supplied filename with no extension allowlist or content validation and the file is written to the web-accessible uploadfile/ directory, from which the web server executes PHP.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS