CVE-2026-18646

ŚrednieCVSS 5.3

Opublikowano: 03/08/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 04/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.77%

Percentyl 55 - wyżej niż 55% wszystkich znanych CVE

Streszczenie

W danpros HTMLy do wersji 3.1.1 wykryto podatność w nieznanym kodzie pliku /system/htmly.php komponentu Author Name Handler. Manipulacja argumentem Name prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Ryzyko polega na możliwości zdalnego odczytu dowolnych plików na serwerze, co może prowadzić do wycieku wrażliwych danych, takich jak pliki konfiguracyjne czy bazy danych.

Rekomendacja

Zaleca się natychmiastową aktualizację HTMLy do wersji, która usuwa tę podatność, jeśli jest dostępna. W przeciwnym razie należy zastosować tymczasowe zabezpieczenia, takie jak filtrowanie danych wejściowych.

Inne podatności w danpros HTMLy

CVE-2026-18645Średnie
W danpros HTMLy do wersji 3.1.1 wykryto podatność w funkcji add_content pliku /system/admin/admin.php komponentu Admin Content Endpoint. Manipulacja argumentem oldfile prowadzi do path traversal. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

A weakness has been identified in danpros HTMLy up to 3.1.1. This vulnerability affects unknown code of the file /system/htmly.php of the component Author Name Handler. Executing a manipulation of the argument Name can lead to path traversal. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS