CVE-2026-95500

WysokieCVSS 7.3

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 22/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 40 - wyżej niż 40% wszystkich znanych CVE

Streszczenie

W produkcie JosephChuks php-file-manager-with-code-editor do wersji 3.0 wykryto podatność. Dotyczy funkcji file_put_contents w pliku codeEditor.php komponentu Save Handler. Manipulacja argumentami filename/content prowadzi do nieograniczonego przesyłania plików. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być użyty. Producent został wcześnie powiadomiony o ujawnieniu, ale nie odpowiedział.

Ocena ryzyka

Atakujący może zdalnie przesłać dowolne pliki, co może prowadzić do wykonania kodu, modyfikacji danych lub przejęcia serwera. Publicznie dostępny exploit zwiększa ryzyko szybkiego wykorzystania.

Rekomendacja

Ze względu na brak odpowiedzi producenta rozważ wyłączenie lub usunięcie podatnego komponentu oraz wdrożenie kontroli dostępu i walidacji przesyłanych plików. Monitoruj logi pod kątem nieautoryzowanych przesłań.

Inne podatności w php-file-manager-with-code-editor

CVE-2026-95499Wysokie
Błąd w php-file-manager-with-code-editor do wersji 3.0. Manipulacja argumentem files w funkcji move_uploaded_file w pliku filemanager.php może prowadzić do nieograniczonego przesyłania plików. Atak możliwy zdalnie.

Oryginalny opis (angielski, źródło NVD)

A vulnerability has been found in JosephChuks php-file-manager-with-code-editor up to 3.0. Impacted is the function file_put_contents of the file codeEditor.php of the component Save Handler. The manipulation of the argument filename/content leads to unrestricted upload. The attack is possible to be carried out remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS