CVE-2026-116254

ŚrednieCVSS 6.5

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 31/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

W rathena FluxCP do wersji 98cd4b8fd83228c11b36fb3d097b8e0f7c105a8d funkcja verifyiprange w pliku lib/Flux/PaymentNotifyRequest.php (komponent PayPal IPN Handler) umożliwia błąd walidacji pochodzenia poprzez manipulację argumentem X-Real-IP. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny. Dostawca został powiadomiony, ale nie odpowiedział.

Ocena ryzyka

Zdalny atakujący może podszyć się pod zaufane źródło IP i obejść walidację pochodzenia powiadomień PayPal IPN, co może prowadzić do fałszowania transakcji lub nieautoryzowanych działań.

Rekomendacja

Wdróż własną poprawkę walidacji nagłówka X-Real-IP w funkcji verifyiprange i nie polegaj wyłącznie na tym nagłówku do weryfikacji pochodzenia.

Inne podatności w FluxCP

CVE-2025-62797Wysokie
Krytyczna podatność CSRF w FluxCP, webowym panelu sterowania dla serwerów rAthena. Żądania POST zmieniające stan są autoryzowane wyłącznie przez cookie sesji, bez tokenów anty-CSRF lub walidacji Origin/Referer. Atakujący może nakłonić zalogowanego użytkownika do wykonania niepożądanych akcji.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was identified in rathena FluxCP up to 98cd4b8fd83228c11b36fb3d097b8e0f7c105a8d. This issue affects the function verifyiprange of the file lib/Flux/PaymentNotifyRequest.php of the component PayPal IPN Handler. The manipulation of the argument X-Real-IP leads to origin validation error. The attack is possible to be carried out remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS