Към съдържанието
Търсене

CVE-2026-77939: flextype, инжекция

7.1

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Flextype CMS through v1.0.0-dev contains an expression language injection vulnerability that allows authenticated attackers with a valid API token to read arbitrary files by passing unsanitized user-supplied input to the Symfony ExpressionLanguage engine via the POST /api/v1/query endpoint. Attackers can leverage exposed application objects including filesystem() and serializers() within the evaluation scope to read arbitrary server files and achieve conditional remote code execution if a PHP file can be placed on disk through a secondary vector.

Засегнати продукти

  • flextype flextype: до 1.0.0-dev; до aea4ead8c449ea5517ed53b6dcbd28b0a528ad9d

Вид слабост

История

  • 28 август 2026 Публикувано

Други уязвимости в flextype flextype

Първоизточници

CVE-2026-77939: flextype, инжекция | freedomonline.bg