CVE-2026-84430
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wykryto podatność w gouguoa do wersji 5.10.0/6.0.1. Dotyczy ona funkcji update w pliku app/home/controller/Index.php komponentu edit_personal Endpoint. Manipulacja argumentem position_id prowadzi do dynamicznie określanych atrybutów obiektu. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Aktualizacja do wersji 6.0.3 rozwiązuje ten problem.
Ocena ryzyka
Ryzyko obejmuje zdalną manipulację atrybutami obiektów, co może prowadzić do nieautoryzowanych zmian danych lub eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 6.0.3 lub nowszej oraz ograniczenie dostępu do endpointu edit_personal.
Inne podatności w gouguoa
Zobacz wszystkie- CVE-2026-88395Krytyczne
GouGuOA w wersji 6.0.5 i wcześniejszych jest podatny na iniekcję SQL w /home/message/rubbish poprzez parametr keywords.
- CVE-2026-116113Średnie
W systemie GouGuOA do wersji 6.1.2 wykryto lukę w funkcji chunkUpload w pliku app/disk/controller/Api.php. Manipulacja argumentem file_extension prowadzi do nieograniczonego przesyłania plików. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in gouguoa up to 5.10.0/6.0.1. This vulnerability affects the function update of the file app/home/controller/Index.php of the component edit_personal Endpoint. Such manipulation of the argument position_id leads to dynamically-determined object attributes. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 6.0.3 is able to resolve this issue. Upgrading the affected component is advised.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS