CVE-2026-56124

Yüksek

Açıklama

2.0.2 sürümünden önceki phpUploader, uzak saldırganların uygulamanın herhangi bir sayfasını ziyaret ederek uploaded-files veritabanı tablosunun tüm içeriğine erişmesine olanak tanıyan kimlik doğrulaması gerektirmeyen bir bilgi ifşası zafiyeti içermektedir. Index modeli sınırsız bir SELECT sorgusu yürütür ve JSON ile kodlanmış sonuç kümesinin tamamını satır içi bir betik bloğuna yerleştirerek yükleyici IP adreslerini, Argon2ID anahtar özetlerini, dahili dosya adlarını ve SHA-256 parmak izlerini açığa çıkarır.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünphpUploader

Yayın29 Haz 2026

İlk görülme29 Haz 2026

Zayıflık türüCWE-359CWE-359 CWE-497CWE-497

Nasıl düzeltilir

Güncelleyin

shimosyan phpUploader2.0.2 ya da sonraki bir sürüm

Yamalar

github.com/shimosyan/phpUploader/commit/45dc4f1c9a2de5ade427deebad0148834c0e8c50

Üretici duyuruları

github.com/shimosyan/phpUploader/releases/tag/v2.0.2

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
shimosyan phpUploader	v < 2.0.2	2.0.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.