CVE-2026-9506
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
Podatność w Bagisto wynika z nieprawidłowej walidacji danych wejściowych w komponencie ImageCacheController. Niezalogowany atakujący zdalnie może wykorzystać tę lukę, wysyłając spreparowane sekwencje path traversal przez parametr filename, aby uzyskać dostęp do dowolnych plików poza zamierzonym katalogiem.
Ocena ryzyka
Udane wykorzystanie podatności może pozwolić atakującemu na odczyt dowolnych wrażliwych plików w systemie, co prowadzi do wycieku poufnych danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Bagisto do najnowszej wersji zawierającej poprawkę oraz wdrożenie walidacji wejścia dla parametru filename.
Inne podatności w Bagisto
Zobacz wszystkie- CVE-2026-21451Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na trwały atak XSS w edytorze stron CMS. Mimo prób filtrowania tagów `<script>`, można je obejść manipulując surowym żądaniem HTTP, co pozwala na zapisanie dowolnego kodu JavaScript w treści CMS i jego wykonanie podczas przeglądania lub edycji strony.
- CVE-2026-21449Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Wersje przed 2.3.10 są podatne na wstrzykiwanie szablonów po stronie serwera (SSTI) poprzez pole imienia i nazwiska użytkownika o niskich uprawnieniach. Wersja 2.3.10 zawiera poprawkę.
- CVE-2026-21447Wysokie
Bagisto to platforma e-commerce oparta na Laravelu. Przed wersją 2.3.10 występuje podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji ponawiania zamówień klienta. Uwierzytelniony klient może dodać produkty z zamówienia innego klienta do własnego koszyka, manipulując parametrem ID zamówienia.
- CVE-2026-21450Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera przez parametr type, co może prowadzić do zdalnego wykonania kodu lub innego wykorzystania. Wersja 2.3.10 naprawia problem.
- CVE-2026-21448Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. Wersje przed 2.3.10 są podatne na wstrzyknięcie szablonów po stronie serwera. Gdy zwykły klient zamawia produkt, w kroku "dodaj adres" może wstrzyknąć wartość, która zostanie wykonana w widoku administratora. Problem może prowadzić do zdalnego wykonania kodu. Wersja 2.3.10 zawiera poprawkę.
- CVE-2026-21446Krytyczne
Bagisto to platforma eCommerce oparta na Laravel. W wersjach z gałęzi 2.3 przed 2.3.10, trasy API pozostają aktywne nawet po zakończeniu instalacji. Podstawowe punkty końcowe API (`/install/api/*`) są bezpośrednio dostępne i możliwe do wykorzystania bez uwierzytelniania. Atakujący może całkowicie ominąć instalator, wywołując punkty API bezpośrednio. Pozwala to każdemu nieuwierzytelnionemu atakującemu na tworzenie kont administratora, modyfikację konfiguracji aplikacji i potencjalne nadpisanie istniejących danych. Wersja 2.3.10 naprawia problem.
- CVE-2026-75082Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność podstawowego cross-site scripting (XSS) w pliku /customer/register, w komponencie powiadomień e-mail o rejestracji klienta. Manipulacja argumentami first_name/last_name umożliwia zdalne przeprowadzenie ataku. Exploit został opublikowany i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.
- CVE-2026-75081Średnie
W Webkul Bagisto do wersji 2.4.4 wykryto podatność polegającą na narzuceniu przepływu pracy (behavioral workflow) w pliku /customer/account/rma/store. Manipulacja argumentami rma_qty/resolution_type/rma_reason_id umożliwia zdalne przeprowadzenie ataku. Exploit jest publiczny i może być wykorzystany. Producent potwierdza, że problemy zostały już zidentyfikowane wewnętrznie i są w trakcie rozwiązywania.
- CVE-2026-60120Średnie
Podatność w Bagisto przed wersją 2.4.4 umożliwia atakującym bez uwierzytelnienia wykonanie dowolnego kodu JavaScript w przeglądarce administratora poprzez wstrzyknięcie złośliwego ładunku w pole imienia lub nazwiska podczas rejestracji konta klienta. Szablon create.blade.php renderuje te pola bez dyrektywy v-pre, co powoduje, że Vue.js interpretuje przechowywane wyrażenia jako aktywny kod.
- CVE-2023-33570Wysokie
Bagisto w wersji 1.5.1 jest podatny na atak typu Server-Side Template Injection (SSTI). Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu w szablonach serwera.
Oryginalny opis (angielski, źródło NVD)
This vulnerability exists in Bagisto due to improper validation of user-supplied input in the ImageCacheController component. An unauthenticated remote attacker could exploit this vulnerability by sending crafted path traversal sequences through the filename parameter to access arbitrary files outside the intended directory on the targeted system. Successful exploitation of this vulnerability could allow an attacker to read arbitrary sensitive files on the targeted system.