CVE-2026-37107
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 50 - wyżej niż 50% wszystkich znanych CVE
Streszczenie
Problem w HTMLy v.3.1.1 pozwala zdalnemu atakującemu na eskalację uprawnień poprzez funkcję get_feed w komponencie admin.php.
Ocena ryzyka
Atakujący może podnieść swoje uprawnienia w aplikacji, co może prowadzić do nieautoryzowanego dostępu do funkcji administracyjnych i danych. Może to skutkować przejęciem kontroli nad witryną lub wyciekiem informacji.
Rekomendacja
Zaktualizuj HTMLy do wersji zawierającej poprawkę lub ogranicz dostęp do komponentu admin.php. Zweryfikuj uprawnienia użytkowników i przejrzyj logi pod kątem podejrzanej aktywności.
Inne podatności w HTMLy
Zobacz wszystkie- CVE-2026-18644Średnie
Podatność w danpros HTMLy do wersji 3.1.1 włącznie, dotycząca funkcji unlink w pliku /system/htmly.php w komponencie Delete Username Endpoint, umożliwia manipulację argumentem File prowadzącą do path traversal. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-10758Niskie
W htmly do wersji 3.1.0 wykryto podatność cross-site scripting (XSS) w pliku /htmly/admin/field/post, w komponencie Custom Field Handler. Manipulacja argumentem label prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2022-25022Średnie
W Htmly v2.8.1 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnych skryptów HTML poprzez spreparowany ładunek w polu treści wpisu na blogu.
Oryginalny opis (angielski, źródło NVD)
An issue in HTMLy v.3.1.1 allows a remote attacker to escalate privileges via the get_feed function in the admin.php component
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS