CVE-2026-92980
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
HortusFox-Web przed wersją 6.1 zawiera podatność zdalnego wykonania kodu, która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik serwera WWW poprzez nadużycie funkcji Import/Export. Atakujący mogą wykorzystać funkcję Import/Export, przeznaczoną wyłącznie do przenoszenia danych, do wdrożenia i wykonania złośliwego kodu na hoście serwera aplikacji.
Ocena ryzyka
Uwierzytelniony administrator może wykonać dowolne polecenia OS jako użytkownik serwera WWW, co prowadzi do pełnego przejęcia hosta aplikacji. Ryzyko jest wysokie, ponieważ funkcja Import/Export jest nadużywana do wdrożenia złośliwego kodu.
Rekomendacja
Zaktualizuj HortusFox-Web do wersji 6.1 lub nowszej. Ogranicz liczbę kont z uprawnieniami administratora i monitoruj użycie funkcji Import/Export.
Inne podatności w HortusFox-Web
Zobacz wszystkie- CVE-2025-45313Średnie
Podatność XSS w endpointcie /tasks aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript poprzez parametr title. Atak może zostać wykonany bez uwierzytelnienia, jeśli aplikacja nie wymaga autoryzacji dla tego endpointu.
- CVE-2025-45315Średnie
Podatność XSS w endpointcie /controller/admin.php aplikacji hortusfox-web v4.4 umożliwia atakującym wstrzyknięcie złośliwego kodu JavaScript do parametru email, który jest wykonywany w przeglądarce ofiary.
- CVE-2025-45314Średnie
Podatność XSS w punkcie końcowym /Calendar aplikacji hortusfox-web v4.4 umożliwia atakującemu wstrzyknięcie złośliwego kodu JavaScript do funkcji dodawania, który wykonuje się w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
HortusFox-Web prior to version 6.1 contains a remote code execution vulnerability that allows authenticated administrators to execute arbitrary OS commands as the web server user by abusing the Import/Export functionality. Attackers can leverage the Import/Export feature, which is intended solely for data portability, to deploy and execute malicious code on the underlying application server host.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS