CVE-2026-95263
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Feehi CMS 2.1.1 jest podatny na nieprawidłową kontrolę dostępu. Niskouprzywilejowany administrator backendu z uprawnieniem do aktualizacji administratora może zmienić hasło wbudowanego konta superadministratora. Serwer nie wymusza ochrony tego konta, a scenariusz aktualizacji nie wymaga podania starego hasła.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może przejąć konto superadministratora, uzyskując pełną kontrolę nad systemem CMS. Może to prowadzić do modyfikacji treści, instalacji złośliwego kodu lub dalszej eskalacji uprawnień.
Rekomendacja
Zaktualizuj Feehi CMS do wersji, która wymusza ochronę konta superadministratora i wymaga starego hasła przy zmianie. Ogranicz uprawnienia administratorów backendu do niezbędnego minimum.
Inne podatności w Feehi CMS
Zobacz wszystkie- CVE-2026-95265Wysokie
Feehi CMS 2.1.1 zawiera podatność Server-Side Request Forgery (SSRF) w punkcie końcowym UEditor catchimage. Walidacja prywatnych adresów IP nie blokuje adresów loopback ani link-local, co pozwala atakującemu na skłonienie serwera do sondowania wewnętrznych usług HTTP poprzez różnice w odpowiedziach.
- CVE-2026-95264Średnie
Feehi CMS 2.1.1 jest podatny na Directory Traversal. Uwierzytelniony użytkownik backendu z uprawnieniem do edycji artykułów może usuwać dowolne pliki, do których proces PHP ma prawo zapisu. Metadane obrazu artykułu są używane do konstruowania ścieżki w systemie plików i przekazywane do funkcji unlink() bez walidacji ścieżki ani katalogu.
- CVE-2026-13546Wysokie
W Feehi CMS do wersji 2.1.1 wykryto brak uwierzytelnienia w punkcie końcowym REST API /api/articles. Luka umożliwia zdalne wykorzystanie bez konieczności logowania, a szczegóły exploitów są publicznie dostępne.
- CVE-2026-13544Średnie
W Feehi CMS do wersji 2.1.1 wykryto podatność w pliku /api/users komponentu API. Nieznana funkcjonalność tego pliku powoduje nieprawidłową kontrolę dostępu, co umożliwia zdalne ataki. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-31313Średnie
W Feehi CMS v2.1.1 wykryto podatność na trwały atak XSS w module tworzenia/edycji treści. Uwierzytelniony atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Content, który zostanie wykonany w przeglądarkach innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Feehi CMS 2.1.1 is vulnerable to Incorrect Access Control. A low-privilege backend administrator with administrator-update permission can change the password of the built-in super administrator account. The server does not enforce protection for this account, and the update scenario does not require the old password.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS