CVE-2026-94104
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
W NivoCart do wersji 2.4.0 występuje podatność dowolnego przesyłania plików w punkcie końcowym File Manager multi(), który nie waliduje rozszerzeń plików dla nowych nazw ani gdy parametr chunks ma wartość 2 lub wyższą. Atakujący z dostępem tylko do odczytu w back-office mogą przesłać pliki PHP do katalogu image/data/ dostępnego z sieci i wykonać je w celu zdalnego wykonania kodu.
Ocena ryzyka
Atakujący z ograniczonym dostępem może przesłać i wykonać złośliwy kod PHP, co prowadzi do pełnego przejęcia serwera i wycieku danych. Ryzyko jest wysokie, ponieważ wymagany jest jedynie dostęp tylko do odczytu.
Rekomendacja
Należy wdrożyć walidację rozszerzeń plików w punkcie końcowym multi(), ograniczyć możliwość przesyłania plików wykonywalnych oraz zaktualizować NivoCart do wersji zawierającej poprawkę.
Inne podatności w NivoCart
Zobacz wszystkie- CVE-2026-111278Średnie
NivoCart do wersji 2.5.1 zawiera podatność obejścia CAPTCHA, ponieważ oczekiwany kod jest wyświetlany jako zwykły tekst w kodzie HTML. Nieuwierzytelnieni atakujący mogą pobrać chronione formularze, wyodrębnić wartość captcha_image i zautomatyzować spam, rejestracje, recenzje oraz żądania usunięcia konta.
- CVE-2026-111277Wysokie
NivoCart w wersji do 2.5.1 zawiera podatność braku autoryzacji w akcji download() w account/order, która pozwala nieuwierzytelnionym atakującym pobierać faktury zamówień gości poprzez podanie order_id. Atakujący może iterować parametr order_id, który odpowiada zamówieniom gości zapisanym z customer_id 0, ujawniając nazwiska, adresy, numery telefonów, adresy e-mail, zakupione przedmioty i kwoty.
- CVE-2026-94107Wysokie
W NivoCart do wersji 2.4.0 występuje podatność przewidywalnego tokenu resetowania hasła w punkcie końcowym forgotten.php, który generuje kody odzyskiwania za pomocą substr(md5(mt_rand()), 0, 10). Atakujący znający adres e-mail administratora może zażądać resetu hasła i przewidzieć token, aby uzyskać dostęp do konta administracyjnego bez ograniczeń szybkości ani wygaśnięcia.
- CVE-2026-94105Średnie
NivoCart do wersji 2.4.0 zawiera destrukcyjną podatność na zapis konfiguracji w kontrolerze resetowania hasła administratora, która pozwala nieuwierzytelnionym atakującym na wyłączenie odzyskiwania hasła poprzez podanie nieprawidłowego parametru code. Atakujący mogą wysłać żądanie GET z brakującym lub nieprawidłowym kodem, aby przepisać ustawienie config_password na 0, wyłączając samodzielne odzyskiwanie hasła, dopóki administrator ręcznie go nie włączy ponownie.
Oryginalny opis (angielski, źródło NVD)
NivoCart through 2.4.0 contains an arbitrary file upload vulnerability in the File Manager multi() endpoint that fails to validate file extensions for new filenames or when chunks parameter is 2 or higher. Attackers with view-only back-office access can upload PHP files to the web-accessible image/data/ directory and execute them for remote code execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS