CVE-2025-15138
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
W TinyFileManager do wersji 2.6 znaleziono podatność na przejście ścieżki (path traversal) w pliku tinyfilemanager.php. Manipulacja argumentem fullpath umożliwia zdalny atak. Wykorzystanie zostało opublikowane, a dostawca nie odpowiedział.
Ocena ryzyka
Atakujący może zdalnie odczytywać lub zapisywać pliki poza katalogiem aplikacji, co może prowadzić do ujawnienia danych lub przejęcia kontroli nad serwerem.
Rekomendacja
Należy natychmiast ograniczyć dostęp do TinyFileManager i wdrożyć odpowiednią walidację ścieżek. Skontaktuj się z dostawcą w celu uzyskania poprawki.
Inne podatności w TinyFileManager
Zobacz wszystkie- CVE-2026-116044Średnie
Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-108801Średnie
Wada bezpieczeństwa w TinyFileManager do wersji 2.6 umożliwia nieograniczone przesyłanie plików przez funkcję move_uploaded_file w pliku tinyfilemanager.php, manipulując argumentem fullpath. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-6497Średnie
W prasathmani TinyFileManager do wersji 2.6 wykryto podatność w nieznanej funkcjonalności pliku /filemanager.php?p= ajax=true&type=upload komponentu File Upload Handler. Manipulacja argumentem uploadurl prowadzi do server-side request forgery, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-6496Średnie
W prasathmani TinyFileManager do wersji 2.6 manipulacja argumentem file[] w pliku /filemanager.php prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in prasathmani TinyFileManager up to 2.6. Affected by this issue is some unknown functionality of the file tinyfilemanager.php. This manipulation of the argument fullpath causes path traversal. Remote exploitation of the attack is possible. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS