CVE-2026-96408
KrytyczneCVSS 9.4Streszczenie
Podatność polegająca na wstrzyknięciu kodu w skrypcie aktualizacji Movable Type. Nieuwierzytelniony atakujący może wykonać dowolny skrypt Perl lub zapytanie SQL na dotkniętym produkcie.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad serwerem, wykonać złośliwy kod, ukraść dane lub zmodyfikować bazę danych. Może to prowadzić do naruszenia integralności i poufności systemu.
Rekomendacja
Należy natychmiast zaktualizować Movable Type do wersji, która naprawia tę podatność. Ograniczyć dostęp do skryptu aktualizacji i włączyć uwierzytelnianie.
Inne podatności w Movable Type
Zobacz wszystkie- CVE-2026-103668Wysokie
Funkcja wyszukiwania w Movable Type zawiera podatność na iniekcję SQL, która może pozwolić nieuwierzytelnionemu atakującemu na wykonanie dowolnego zapytania SQL w produkcie.
- CVE-2013-2184Wysokie
Movable Type w wersjach przed 5.2.6 nieprawidłowo wykorzystuje funkcję Storable::thaw, co umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez parametr comment_state.
- CVE-2026-33088Krytyczne
Movable Type firmy Six Apart Ltd. zawiera podatność na wstrzykiwanie SQL, która może pozwolić atakującemu na wykonanie dowolnego zapytania SQL.
- CVE-2026-44392Średnie
Brak autoryzacji w Movable Type umożliwia użytkownikowi bez uprawnień administratora wykonanie niezamierzonej aktualizacji po zalogowaniu.
Oryginalny opis (angielski, źródło NVD)
A code injection vulnerability exists in the upgrade script of Movable Type, which may allow an unauthenticated attacker to execute an arbitrary Perl script or an SQL query on the affected product.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS