CVE-2026-119649

WysokieCVSS 7.1

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 30 - wyżej niż 30% wszystkich znanych CVE

Streszczenie

Orchard CMS w wersjach od 1.10.3 do 1.11 zawiera podatność nieprawidłowej autoryzacji w MediaLibraryService.CheckMediaFolderPermission(), która pozwala uwierzytelnionym autorom i współtwórcom na dostęp do mediów innych użytkowników. Atakujący mogą wyświetlać, klonować i usuwać elementy multimedialne innych użytkowników po identyfikatorze treści oraz usuwać dowolne foldery multimedialne poprzez FolderController.Delete().

Ocena ryzyka

Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą uzyskać dostęp do prywatnych plików multimedialnych innych osób oraz je usuwać, co narusza poufność i integralność zasobów organizacji.

Rekomendacja

Zaktualizuj Orchard CMS do wersji zawierającej poprawkę autoryzacji w MediaLibraryService i FolderController. Do czasu aktualizacji ogranicz role Autor i Współtwórca oraz monitoruj nietypowe operacje na mediach.

Inne podatności w Orchard CMS

CVE-2022-37720Krytyczne
W systemie Orchard CMS 1.10.3 wykryto podatność na atak XSS. Użytkownik z niskimi uprawnieniami (autor lub wydawca) może wstrzyknąć złośliwy kod HTML i JavaScript w treść wpisu blogowego, co po załadowaniu przez administratora prowadzi do przejęcia jego konta lub eskalacji uprawnień.

Oryginalny opis (angielski, źródło NVD)

Orchard CMS 1.10.3 through 1.11 contains an improper authorization vulnerability in MediaLibraryService.CheckMediaFolderPermission() that allows authenticated Authors and Contributors to access other users' media. Attackers can display, clone, and delete other users' media items by content id and delete arbitrary media folders via FolderController.Delete().

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS