CVE-2026-86307
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
W projekcie light0011 cms (konkretne commity) wykryto podatność na cross-site request forgery (CSRF). Atak może być inicjowany zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Projekt stosuje ciągłe wydania, więc nie ma dostępnych informacji o wersjach.
Ocena ryzyka
CSRF może umożliwić atakującemu wykonanie nieautoryzowanych działań w imieniu zalogowanego użytkownika, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Wdróż mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF, i poinformuj projekt o problemie.
Inne podatności w light0011 cms
Zobacz wszystkie- CVE-2026-112028Średnie
W light0011 cms (wersje c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930) wykryto podatność w pliku App/Home/Controller/VoteController.class.php komponentu Vote Handler. Manipulacja argumentem X-Requested-With powoduje błędy logiki biznesowej. Atak można przeprowadzić zdalnie, a exploit został opublikowany i może być wykorzystany.
- CVE-2026-112027Średnie
W light0011 cms (wersje c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930) wykryto podatność w funkcji file_exists pliku Public/Home/js/uploadify/check-exists.php komponentu Uploadify. Manipulacja argumentem filename prowadzi do ujawnienia informacji o plikach i katalogach. Atak można przeprowadzić zdalnie, a exploit jest publiczny i może być wykorzystany.
- CVE-2026-112026Niskie
W light0011 cms w funkcji sha1 pliku App/Home/Model/UserModel.class.php manipulacja argumentem Password prowadzi do generowania hashy haseł o niewystarczającym nakładzie obliczeniowym. Atak może być zainicjowany zdalnie i wymaga wysokiej złożoności, a exploit został publicznie ujawniony.
- CVE-2026-112025Wysokie
W light0011 cms (wersje c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930) w pliku App/Home/Controller/UserController.class.php komponentu Captcha Validation występuje słabość prowadząca do nieprawidłowej kontroli dostępu. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2026-86308Średnie
W projekcie light0011 cms (konkretne commity) wykryto podatność w pliku App/Common/Conf/config.php, w komponencie Debug Mode. Manipulacja argumentem DB_DEBUG prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie. Exploit jest publiczny i może być wykorzystany. Projekt stosuje ciągłe wydania, więc nie ma dostępnych informacji o wersjach.
- CVE-2026-86306Wysokie
W systemie light0011 cms wykryto słabość w pliku App/Home/Model/UserModel.class.php komponentu Cookie Helper. Manipulacja argumentem Username prowadzi do nieprawidłowego uwierzytelnienia. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-86305Wysokie
W systemie light0011 cms wykryto lukę w funkcji Upload::upload w pliku ThinkPHP/Library/Think/Upload.class.php. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-85382Średnie
W light0011 cms (konkretne wersje) wykryto podatność XSS w funkcji htmlspecialchars_decode pliku App/Home/View/Default/Chapter/oneChapter.tpl komponentu Chapter Content Output. Manipulacja argumentem content umożliwia zdalny atak. Exploit jest publiczny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-85381Średnie
W light0011 cms (konkretne wersje) wykryto podatność polegającą na obejściu autoryzacji w pliku App/Home/Controller/ChapterController.class.php komponentu Chapter Controller. Manipulacja argumentem content umożliwia zdalny atak. Exploit jest publiczny, a projekt nie odpowiedział.
- CVE-2026-85380Wysokie
W systemie light0011 cms (konkretne wersje) wykryto podatność w funkcji catchimage w pliku Public/ueditor/php/controller.php komponentu UEditor. Manipulacja argumentem source[] prowadzi do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie, a exploit został upubliczniony. Produkt używa modelu ciągłych aktualizacji, więc nie ma dostępnych informacji o wersjach dotkniętych ani naprawionych. Projekt został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in light0011 cms c774dce31c6df0055568a8d5c53d964d99be199d/f72cf46f601efb2a0618c3814cc2f61380b38930. This vulnerability affects unknown code. The manipulation leads to cross-site request forgery. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS