CVE-2026-89145
ŚrednieCVSS 4.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Flextype CMS w wersjach 0.9.9 do 1.0.0-alpha.3 nie escapuje znaków HTML w nazwach katalogów wtyczek na stronie błędu zależności generowanej przez getValidPluginsDependencies(). Atakujący z prawem zapisu do katalogu wtyczek może utworzyć wtyczkę o nazwie zawierającej znaki HTML, co prowadzi do wykonania dowolnych skryptów w przeglądarkach użytkowników, gdy walidacja zależności zakończy się niepowodzeniem.
Ocena ryzyka
Podatność typu stored XSS pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki ofiary, co może skutkować kradzieżą sesji lub przejęciem konta administratora. Wymaga jednak uprawnień zapisu do katalogu wtyczek.
Rekomendacja
Zaktualizuj Flextype CMS do wersji nowszej niż 1.0.0-alpha.3, która poprawnie escapuje nazwy katalogów wtyczek. Ogranicz prawa zapisu do katalogu wtyczek wyłącznie do zaufanych administratorów.
Inne podatności w Flextype CMS
Zobacz wszystkie- CVE-2026-91751Wysokie
Flextype CMS do wersji 1.0.0-alpha.3 nie waliduje poprawnie parametrów id i new_id w API REST Entries, co umożliwia posiadaczom tokenów API odczyt, tworzenie lub nadpisywanie plików poza katalogiem wpisów. Atakujący mogą użyć sekwencji przejść w żądaniach API, aby wydostać się poza katalog wpisów i manipulować dowolnymi plikami i katalogami w systemie plików.
- CVE-2026-88897Średnie
Flextype CMS do wersji 1.0.0-alpha.3 przyjmuje dane uwierzytelniające API przez parametry query string w trasach REST API. Atakujący mający dostęp do logów serwera web, proxy lub monitoringu może odzyskać ważne pary tokenów API dające pełny dostęp do API.
- CVE-2026-77939Średnie
Flextype CMS do wersji v1.0.0-dev zawiera podatność na wstrzyknięcie języka wyrażeń, która pozwala uwierzytelnionym atakującym z ważnym tokenem API na odczyt dowolnych plików poprzez przekazanie nieoczyszczonych danych wejściowych do silnika Symfony ExpressionLanguage przez endpoint POST /api/v1/query. Atakujący mogą wykorzystać wystawione obiekty aplikacji, w tym filesystem() i serializers(), w zakresie oceny, aby odczytać dowolne pliki serwera i osiągnąć warunkowe zdalne wykonanie kodu, jeśli plik PHP może zostać umieszczony na dysku przez wektor dodatkowy.
Oryginalny opis (angielski, źródło NVD)
Flextype CMS versions 0.9.9 through 1.0.0-alpha.3 fail to HTML-escape plugin directory names in the dependency error page rendered by getValidPluginsDependencies(). Attackers with write access to the plugins directory can create a plugin with HTML characters in its name to execute arbitrary scripts in users' browsers when dependency validation fails.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS