CVE-2026-18644
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
Podatność w danpros HTMLy do wersji 3.1.1 włącznie, dotycząca funkcji unlink w pliku /system/htmly.php w komponencie Delete Username Endpoint, umożliwia manipulację argumentem File prowadzącą do path traversal. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może odczytać lub usunąć dowolne pliki na serwerze, co prowadzi do naruszenia poufności i integralności danych oraz potencjalnie do przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować HTMLy do najnowszej dostępnej wersji lub zastosować odpowiednie poprawki zabezpieczające.
Inne podatności w HTMLy
Zobacz wszystkie- CVE-2026-37107Krytyczne
Problem w HTMLy v.3.1.1 pozwala zdalnemu atakującemu na eskalację uprawnień poprzez funkcję get_feed w komponencie admin.php.
- CVE-2025-10758Niskie
W htmly do wersji 3.1.0 wykryto podatność cross-site scripting (XSS) w pliku /htmly/admin/field/post, w komponencie Custom Field Handler. Manipulacja argumentem label prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2022-25022Średnie
W Htmly v2.8.1 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnych skryptów HTML poprzez spreparowany ładunek w polu treści wpisu na blogu.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in danpros HTMLy up to 3.1.1. Affected by this issue is the function unlink of the file /system/htmly.php of the component Delete Username Endpoint. Such manipulation of the argument File leads to path traversal. The attack can be launched remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS