CVSS 4.0
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Атакува се
Време до експлоатация
Атакува се по мрежата, без особени условия, с администраторски права и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
WebsiteBaker CMS before 2.13.10 contains an unrestricted file upload vulnerability in the module installation feature that allows authenticated administrators to achieve remote code execution by uploading a crafted ZIP archive containing a PHP webshell alongside a valid info.php metadata file. Attackers can place the malicious archive through the module installation interface, causing the application to extract the webshell into a web-accessible modules/ subdirectory where it becomes immediately executable by any unauthenticated user via direct HTTP request.
Засегнати продукти
- WebsiteBaker Org e.V. WebsiteBaker CMS: преди 2.13.10
Вид слабост
История
- 3 август 2026 Публикувано
Други уязвимости в WebsiteBaker Org e.V. WebsiteBaker CMS
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-61524
- https://nvd.nist.gov/vuln/detail/CVE-2026-61524
- https://medium.com/@benjaminasareagyapong2006/two-rce-vulnerabilities-i-found-on-my-birthday-evening-4563006a615a
- https://addon.websitebaker.org/en/browse-add-ons/?type=5&cid=997
- https://www.vulncheck.com/advisories/websitebaker-cms-file-upload-rce-via-module-installation