CVE-2026-90879
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W oprogramowaniu zyx0814 FilePress w wersji do 3.0.1 zidentyfikowano podatność. Dotyczy ona nieznanego kodu w pliku dzz/publish/search.php w komponencie Publish Module. Manipulacja argumentami orderby/order prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny i może być wykorzystany. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Podatność pozwala zdalnemu atakującemu na wstrzyknięcie dowolnych zapytań SQL, co może prowadzić do wycieku lub modyfikacji danych w bazie. Ryzyko jest wysokie, ponieważ exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Rekomendacja
Ze względu na brak odpowiedzi od projektu, zaleca się zaprzestanie korzystania z FilePress lub wdrożenie własnych poprawek filtrujących parametry orderby/order. Monitoruj dostęp do pliku search.php i ogranicz dostęp do aplikacji.
Inne podatności w FilePress
Zobacz wszystkie- CVE-2026-119657Średnie
FilePress do wersji 3.0.1 zawiera podatność polegającą na braku autoryzacji w dzz/pichome/library, umożliwiającą uwierzytelnionym użytkownikom zarządzanie folderami innych bibliotek, ponieważ checkuserperm_by_uid sprawdza jedynie członkostwo w dowolnej bibliotece. Atakujący znający appid lub identyfikator folderu innej biblioteki może wywołać operacje folder.php, takie jak deletefolder i rename, lub rightdata.php getfolderdata, aby usuwać, modyfikować lub odczytywać obce foldery.
- CVE-2026-111619Średnie
FilePress do wersji 3.0.1 zawiera podatność typu SQL injection, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na wstrzyknięcie SQL do klauzul ORDER BY poprzez niezwalidowany parametr asc. Atakujący może użyć ślepych podzapytań boolowskich lub czasowych w dzz/pichome/library/filelist.php i dzz/collection/filelist.php, aby wyodrębnić wiersze bazy danych, w tym hashe poświadczeń administratora.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in zyx0814 FilePress up to 3.0.1. This vulnerability affects unknown code of the file dzz/publish/search.php of the component Publish Module. Such manipulation of the argument orderby/order leads to sql injection. The attack can be launched remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS