CVE-2026-6257
Açıklama
Vvveb CMS v1.0.8.2, medya yönetim işlevselliğinde, dosya yeniden adlandırma işlemcisindeki eksik bir return ifadesinin kimliği doğrulanmış saldırganların dosyaları engellenmiş olan .php veya .htaccess uzantılarıyla yeniden adlandırmasına izin verdiği bir uzaktan kod çalıştırma zafiyeti içermektedir. Saldırganlar bu mantık hatasını; önce bir metin dosyası yükleyip bunu PHP yürütülebilir MIME türlerini kaydeden Apache direktiflerini enjekte etmek için .htaccess olarak yeniden adlandırarak, ardından başka bir dosya yükleyip bunu .php olarak yeniden adlandırarak www-data kullanıcısı olarak rastgele işletim sistemi komutlarını çalıştırarak istismar edebilirler.
Nasıl düzeltilir
- Vvveb Vvveb CMS1.0.8.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Vvveb Vvveb CMS | v < 1.0.8.2 | 1.0.8.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.