CVE-2026-6497
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W prasathmani TinyFileManager do wersji 2.6 wykryto podatność w nieznanej funkcjonalności pliku /filemanager.php?p= ajax=true&type=upload komponentu File Upload Handler. Manipulacja argumentem uploadurl prowadzi do server-side request forgery, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystywany; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może wymusić na serwerze żądania do zasobów wewnętrznych lub zewnętrznych, co może prowadzić do ujawnienia danych lub interakcji z usługami wewnętrznymi.
Rekomendacja
Ogranicz dostęp do filemanager.php oraz wdróż walidację argumentu uploadurl po stronie serwera, ponieważ producent nie dostarczył poprawki.
Inne podatności w TinyFileManager
Zobacz wszystkie- CVE-2026-116044Średnie
Wykryto podatność w prasathmani TinyFileManager do wersji 2.6 w module zdalnego przesyłania plików z URL w pliku tinyfilemanager.php. Manipulacja prowadzi do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-108801Średnie
Wada bezpieczeństwa w TinyFileManager do wersji 2.6 umożliwia nieograniczone przesyłanie plików przez funkcję move_uploaded_file w pliku tinyfilemanager.php, manipulując argumentem fullpath. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-6496Średnie
W prasathmani TinyFileManager do wersji 2.6 manipulacja argumentem file[] w pliku /filemanager.php prowadzi do path traversal. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2025-15138Średnie
W TinyFileManager do wersji 2.6 znaleziono podatność na przejście ścieżki (path traversal) w pliku tinyfilemanager.php. Manipulacja argumentem fullpath umożliwia zdalny atak. Wykorzystanie zostało opublikowane, a dostawca nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in prasathmani TinyFileManager up to 2.6. Affected by this vulnerability is an unknown functionality of the file /filemanager.php?p= ajax=true&type=upload of the component File Upload Handler. This manipulation of the argument uploadurl causes server-side request forgery. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS