CVE-2026-55695

KrytyczneCVSS 9.1

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 13/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.47%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

FearlessCMS to flat-file'owy system zarządzania treścią. W wersji 0.1.2b i wcześniejszych uwierzytelniony administrator może ustawić dowolny URL repozytorium Git poprzez admin/updater-handler.php i wywołać perform_update, co przekazuje URL do update.sh. Aktualizator klonuje repozytorium i zastępuje katalogi plugins/, admin/ i includes/ bez weryfikacji tożsamości, podpisów ani zawartości repozytorium. Ponieważ router.php pozwala na wykonywanie istniejących plików PHP w plugins przez serwer deweloperski PHP, dostarczona przez atakującego zawartość aktualizacji może wykonać dowolny kod PHP z uprawnieniami procesu serwera i utrwalić backdoor.

Ocena ryzyka

Uwierzytelniony administrator może doprowadzić do zdalnego wykonania kodu i trwałego backdoora w aplikacji. Skutkuje to pełnym przejęciem serwera i utratą kontroli nad systemem.

Rekomendacja

Zaktualizuj FearlessCMS do wersji 0.1.3b. Ogranicz uprawnienia aktualizatora i zweryfikuj integralność pobieranych repozytoriów przed wdrożeniem.

Inne podatności w FearlessCMS

CVE-2026-63190Krytyczne
W FearlessCMS przed wersją 0.1.4 pięć skryptów debug/test w katalogu admin/ wykonuje uprzywilejowane operacje bez uwierzytelnienia, ochrony CSRF i odpowiedniej walidacji ścieżek. Na wbudowanym serwerze PHP (w tym w domyślnym wdrożeniu Docker) można obejść bramkę logowania przez /./admin/ i uzyskać zapis plików .md, odczyt katalogów, XSS oraz wyczerpanie dysku.

Oryginalny opis (angielski, źródło NVD)

FearlessCMS is a flat-file content management system centered on simplicity and open source. In 0.1.2b and earlier, an authenticated administrator can set an arbitrary Git repository URL through admin/updater-handler.php and trigger perform_update, which passes the URL to update.sh. The updater clones the repository and replaces the live plugins/, admin/, and includes/ directories without verifying the repository's identity, signatures, or contents. Because router.php permits existing PHP files under plugins to be executed by the PHP development server, attacker-supplied update content can execute arbitrary PHP with the web server process's privileges and persist as a backdoor. This issue is fixed in version 0.1.3b.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS