CVE-2025-65473
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
W komponencie /admin/filer.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym z uprawnieniami administratora na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do nazwy przesyłanego pliku.
Ocena ryzyka
Ryzyko wykonania dowolnego kodu na serwerze przez administratora, co może prowadzić do pełnego przejęcia systemu i naruszenia integralności danych.
Rekomendacja
Zaleca się aktualizację EasyImages do najnowszej wersji oraz regularne przeglądanie uprawnień administratorów.
Inne podatności w EasyImages
Zobacz wszystkie- CVE-2025-65474Krytyczne
W komponencie /admin/manager.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym na wykonanie dowolnego kodu poprzez zmianę nazwy pliku PHP na format SVG.
- CVE-2025-65472Wysokie
W komponencie /admin/admin.inc.php aplikacji EasyImages 2.0 w wersji 2.8.6 i starszych występuje podatność Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu eskalację uprawnień do Administratora poprzez interakcję użytkownika ze złośliwą stroną internetową.
- CVE-2025-65471Wysokie
W EasyImages w wersji 2.0 v2.8.6 i starszych występuje podatność umożliwiająca przesłanie dowolnego pliku poprzez komponent /admin/manager.php. Atakujący może przesłać spreparowany plik PHP, co prowadzi do wykonania dowolnego kodu.
- CVE-2023-33599Średnie
EasyImages w wersjach do 2.8.1 jest podatny na atak Cross Site Scripting (XSS) poprzez plik viewlog.php.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file rename vulnerability in the /admin/filer.php component of EasyImages 2.0 v2.8.6 and below allows attackers with Administrator privileges to execute arbitrary code via injecting a crafted payload into an uploaded file name.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS