CVE-2026-116113
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W systemie GouGuOA do wersji 6.1.2 wykryto lukę w funkcji chunkUpload w pliku app/disk/controller/Api.php. Manipulacja argumentem file_extension prowadzi do nieograniczonego przesyłania plików. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
Ocena ryzyka
Zdalny atakujący może przesłać dowolne pliki, w tym skrypty wykonywalne, co może prowadzić do przejęcia serwera aplikacji. Stanowi to poważne ryzyko dla poufności i integralności danych organizacji.
Rekomendacja
Jak najszybciej zaktualizuj GouGuOA do wersji zawierającej poprawkę lub ogranicz dostęp do funkcji przesyłania plików. Wdróż walidację rozszerzeń plików po stronie serwera i monitoruj nietypowe przesłane pliki.
Inne podatności w GouGuOA
Zobacz wszystkie- CVE-2026-88395Krytyczne
GouGuOA w wersji 6.0.5 i wcześniejszych jest podatny na iniekcję SQL w /home/message/rubbish poprzez parametr keywords.
- CVE-2026-84430Średnie
Wykryto podatność w gouguoa do wersji 5.10.0/6.0.1. Dotyczy ona funkcji update w pliku app/home/controller/Index.php komponentu edit_personal Endpoint. Manipulacja argumentem position_id prowadzi do dynamicznie określanych atrybutów obiektu. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Aktualizacja do wersji 6.0.3 rozwiązuje ten problem.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in GouGuOA up to 6.1.2. The impacted element is the function chunkUpload of the file app/disk/controller/Api.php. The manipulation of the argument file_extension results in unrestricted upload. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS