CVE-2026-72592
KrytyczneCVSS 9.8Streszczenie
phpfm do wersji 1.8.0 zawiera podatność na nieograniczone przesyłanie plików, która pozwala nieuwierzytelnionemu atakującemu na przesłanie pliku PHP (webshell) i wykonanie go na serwerze. Aplikacja domyślnie nie ma uwierzytelniania i filtr rozszerzeń jest pusty.
Ocena ryzyka
Atakujący może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Włącz uwierzytelnianie, skonfiguruj dozwolone rozszerzenia plików i zaktualizuj phpFM do wersji z poprawką.
Oryginalny opis (angielski, źródło NVD)
An unrestricted file upload vulnerability in dulldusk/phpfm through 1.8.0 allows an unauthenticated remote attacker to execute arbitrary PHP code on the server. The application ships with an empty upload extension filter ( = array) and no authentication enabled by default (auth_pass is empty string), allowing an unauthenticated attacker to upload a PHP webshell and execute it by browsing to the uploaded path.