CVE-2026-57321
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka H5P w wersji 1.17.7 i starszych zawiera podatność umożliwiającą współtwórcy (contributor) usunięcie dowolnego pliku na serwerze. Luka wynika z braku odpowiedniej walidacji uprawnień podczas operacji usuwania plików.
Ocena ryzyka
Atakujący z rolą współtwórcy może usunąć krytyczne pliki systemowe lub dane, co prowadzi do przerwania działania usługi, utraty danych lub całkowitego przejęcia kontroli nad serwerem.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę H5P do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, ogranicz uprawnienia współtwórców do minimum lub tymczasowo wyłącz funkcję usuwania plików.
Inne podatności w H5P
Zobacz wszystkie- CVE-2026-56006Wysokie
W wersjach H5P do 1.17.6 występuje podatność na nieautoryzowane ataki Cross Site Scripting (XSS). Atakujący może wykorzystać tę lukę do wstrzykiwania złośliwego kodu JavaScript.
- CVE-2026-112867Średnie
Wtyczka H5P do wersji 1.17.9 zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Dane użytkownika nie są prawidłowo oczyszczane przed zapisaniem.
- CVE-2026-112868Średnie
H5P do wersji 1.17.9 zawiera podatność obejścia autoryzacji poprzez klucz kontrolowany przez użytkownika, umożliwiającą wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2025-68505Średnie
Wtyczka H5P (wersje do 1.16.1 włącznie) zawiera podatność typu Missing Authorization, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wszystkich wersji od n/a do 1.16.1.
- CVE-2025-62951Średnie
Wtyczka H5P (icc0rz) zawiera podatność typu Cross-site Scripting (Stored XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Problem dotyczy wersji od n/a do <= 1.16.0.
Oryginalny opis (angielski, źródło NVD)
Contributor Arbitrary File Deletion in H5P <= 1.17.7 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS