CVE-2026-7238
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W code-projects Online Music Site 1.0 w pliku /Administrator/PHP/AdminUpdateAlbum.php manipulacja argumentem txtimage prowadzi do nieograniczonego przesyłania plików. Zdalne wykorzystanie jest możliwe, a exploit został opublikowany i może być użyty.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki, takie jak webshelle, co prowadzi do zdalnego wykonania kodu i przejęcia serwera. Ryzyko jest wysokie ze względu na publicznie dostępny exploit.
Rekomendacja
Zaktualizuj Online Music Site do wersji zawierającej poprawkę lub usuń podatny plik. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do panelu administratora i wdróż walidację przesyłanych plików.
Inne podatności w Online Music Site
Zobacz wszystkie- CVE-2026-13567Średnie
W projekcie code-projects Online Music Site 1.0 odkryto podatność na atak XSS w pliku /Frontend/Feedback.php. Manipulacja argumentami fname, femail, faddress lub fmessage umożliwia zdalne wstrzyknięcie złośliwego skryptu.
- CVE-2026-11490Wysokie
Online Music Site 1.0 od code-projects ma podatność SQL Injection w pliku /Frontend/Search.php poprzez manipulację argumentem Category. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-10178Wysokie
W systemie Online Music Site 1.0 firmy code-projects wykryto podatność na wstrzykiwanie SQL w pliku /Administrator/PHP/AdminEditAlbum.php poprzez manipulację argumentem ID. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-10171Średnie
Podatność w code-projects Online Music Site 1.0 umożliwia atak SQL Injection poprzez manipulację argumentem ID w pliku /Administrator/PHP/AdminUpdateAlbum.php.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in code-projects Online Music Site 1.0. This affects an unknown part of the file /Administrator/PHP/AdminUpdateAlbum.php. This manipulation of the argument txtimage causes unrestricted upload. Remote exploitation of the attack is possible. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS