8.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
C97net qEngine CMS through 6.0.0, Kemana Directory through 1.5.6, and Cart Engine through 3.0.0 contain an unrestricted file upload vulnerability in administrative image fields. Editor-role users can upload PHP scripts via the page_image or cat_image parameters to the web-accessible /public/image directory and request them to execute code on the server.
Засегнати продукти
- C97net qEngine CMS: до 6.0.0
- C97net Kemana Directory: до 1.5.6
- C97net Cart Engine: до 3.0.0
Вид слабост
История
- 28 октомври 2026 Публикувано
Други уязвимости в C97net qEngine CMS
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2014-125138
- https://nvd.nist.gov/vuln/detail/CVE-2014-125138
- https://www.zeroscience.mk/advisories/ZSL-2014-5174.html
- https://www.zeroscience.mk/advisories/ZSL-2014-5178.html
- https://www.zeroscience.mk/advisories/ZSL-2014-5182.html
- https://www.exploit-db.com/exploits/32511
- https://www.exploit-db.com/exploits/32507
- https://www.exploit-db.com/exploits/32503
- https://www.vulncheck.com/advisories/c97net-qengine-cms-through-6.0.0-kemana-directory-through-1.5.6-cart-engine-through-3.0.0-unrestricted-file-upload-via-image-fields