CVE-2026-90879

WysokieCVSS 7.3

Opublikowano: 15/09/2026(UTC)Zaktualizowano: 15/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

W oprogramowaniu zyx0814 FilePress w wersji do 3.0.1 zidentyfikowano podatność. Dotyczy ona nieznanego kodu w pliku dzz/publish/search.php w komponencie Publish Module. Manipulacja argumentami orderby/order prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.

Ocena ryzyka

Podatność pozwala zdalnemu atakującemu na wstrzyknięcie dowolnych zapytań SQL, co może prowadzić do wycieku lub modyfikacji danych w bazie. Ryzyko jest wysokie, ponieważ exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.

Rekomendacja

Ze względu na brak odpowiedzi od projektu, zaleca się zaprzestanie korzystania z FilePress lub wdrożenie własnych poprawek filtrujących parametry orderby/order. Monitoruj dostęp do pliku search.php i ogranicz dostęp do aplikacji.

Inne podatności w FilePress

CVE-2026-111619Średnie
FilePress do wersji 3.0.1 zawiera podatność typu SQL injection, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na wstrzyknięcie SQL do klauzul ORDER BY poprzez niezwalidowany parametr asc. Atakujący może użyć ślepych podzapytań boolowskich lub czasowych w dzz/pichome/library/filelist.php i dzz/collection/filelist.php, aby wyodrębnić wiersze bazy danych, w tym hashe poświadczeń administratora.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in zyx0814 FilePress up to 3.0.1. This vulnerability affects unknown code of the file dzz/publish/search.php of the component Publish Module. Such manipulation of the argument orderby/order leads to sql injection. The attack can be launched remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS