CVE-2026-94104
WysokieCVSS 8.8Streszczenie
W NivoCart do wersji 2.4.0 występuje podatność dowolnego przesyłania plików w punkcie końcowym File Manager multi(), który nie waliduje rozszerzeń plików dla nowych nazw ani gdy parametr chunks ma wartość 2 lub wyższą. Atakujący z dostępem tylko do odczytu w back-office mogą przesłać pliki PHP do katalogu image/data/ dostępnego z sieci i wykonać je w celu zdalnego wykonania kodu.
Ocena ryzyka
Atakujący z ograniczonym dostępem może przesłać i wykonać złośliwy kod PHP, co prowadzi do pełnego przejęcia serwera i wycieku danych. Ryzyko jest wysokie, ponieważ wymagany jest jedynie dostęp tylko do odczytu.
Rekomendacja
Należy wdrożyć walidację rozszerzeń plików w punkcie końcowym multi(), ograniczyć możliwość przesyłania plików wykonywalnych oraz zaktualizować NivoCart do wersji zawierającej poprawkę.
Inne podatności w NivoCart
Zobacz wszystkie- CVE-2026-94107Wysokie
W NivoCart do wersji 2.4.0 występuje podatność przewidywalnego tokenu resetowania hasła w punkcie końcowym forgotten.php, który generuje kody odzyskiwania za pomocą substr(md5(mt_rand()), 0, 10). Atakujący znający adres e-mail administratora może zażądać resetu hasła i przewidzieć token, aby uzyskać dostęp do konta administracyjnego bez ograniczeń szybkości ani wygaśnięcia.
- CVE-2026-94105Średnie
NivoCart do wersji 2.4.0 zawiera destrukcyjną podatność na zapis konfiguracji w kontrolerze resetowania hasła administratora, która pozwala nieuwierzytelnionym atakującym na wyłączenie odzyskiwania hasła poprzez podanie nieprawidłowego parametru code. Atakujący mogą wysłać żądanie GET z brakującym lub nieprawidłowym kodem, aby przepisać ustawienie config_password na 0, wyłączając samodzielne odzyskiwanie hasła, dopóki administrator ręcznie go nie włączy ponownie.
Oryginalny opis (angielski, źródło NVD)
NivoCart through 2.4.0 contains an arbitrary file upload vulnerability in the File Manager multi() endpoint that fails to validate file extensions for new filenames or when chunks parameter is 2 or higher. Attackers with view-only back-office access can upload PHP files to the web-accessible image/data/ directory and execute them for remote code execution.