CVE-2026-116044
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może przesłać dowolne pliki, w tym złośliwy kod, co może prowadzić do przejęcia serwera. Publiczny exploit zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Zaktualizuj TinyFileManager do wersji nowszej niż 2.6 lub wyłącz funkcję zdalnego przesyłania plików z URL. Rozważ ograniczenie dostępu do aplikacji.
Inne podatności w TinyFileManager
Zobacz wszystkie- CVE-2026-108801Średnie
Wada bezpieczeństwa w TinyFileManager do wersji 2.6 umożliwia nieograniczone przesyłanie plików przez funkcję move_uploaded_file w pliku tinyfilemanager.php, manipulując argumentem fullpath. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-6497Średnie
W prasathmani TinyFileManager do wersji 2.6 wykryto podatność w nieznanej funkcjonalności pliku /filemanager.php?p= ajax=true&type=upload komponentu File Upload Handler. Manipulacja argumentem uploadurl prowadzi do server-side request forgery, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-6496Średnie
W prasathmani TinyFileManager do wersji 2.6 manipulacja argumentem file[] w pliku /filemanager.php prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2025-15138Średnie
W TinyFileManager do wersji 2.6 znaleziono podatność na przejście ścieżki (path traversal) w pliku tinyfilemanager.php. Manipulacja argumentem fullpath umożliwia zdalny atak. Wykorzystanie zostało opublikowane, a dostawca nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in prasathmani TinyFileManager up to 2.6. Affected by this issue is some unknown functionality of the file tinyfilemanager.php of the component Remote URL File Upload Module. The manipulation leads to unrestricted upload. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS