CVE-2025-65471
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W EasyImages w wersji 2.0 v2.8.6 i starszych występuje podatność umożliwiająca przesłanie dowolnego pliku poprzez komponent /admin/manager.php. Atakujący może przesłać spreparowany plik PHP, co prowadzi do wykonania dowolnego kodu.
Ocena ryzyka
Pozwala atakującemu na zdalne wykonanie kodu na serwerze, co może skutkować pełnym przejęciem systemu i kradzieżą danych.
Rekomendacja
Zaktualizuj EasyImages do wersji nowszej niż 2.8.6 lub usuń/ogranicz dostęp do /admin/manager.php oraz wdróż walidację przesyłanych plików.
Inne podatności w EasyImages
Zobacz wszystkie- CVE-2025-65474Krytyczne
W komponencie /admin/manager.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym na wykonanie dowolnego kodu poprzez zmianę nazwy pliku PHP na format SVG.
- CVE-2025-65473Krytyczne
W komponencie /admin/filer.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym z uprawnieniami administratora na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do nazwy przesyłanego pliku.
- CVE-2025-65472Wysokie
W komponencie /admin/admin.inc.php aplikacji EasyImages 2.0 w wersji 2.8.6 i starszych występuje podatność Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu eskalację uprawnień do Administratora poprzez interakcję użytkownika ze złośliwą stroną internetową.
- CVE-2023-33599Średnie
EasyImages w wersjach do 2.8.1 jest podatny na atak Cross Site Scripting (XSS) poprzez plik viewlog.php.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the /admin/manager.php component of EasyImages 2.0 v2.8.6 and below allows attackers to execute arbitrary code via uploading a crafted PHP file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS