CVE-2026-30643

DedeCMS 5.7.118 — zdalne wykonanie kodu przez upload modułu (RCE)

CVSS 9.8v3.1pub. 2026-04-01upd. 2026-04-06

W systemie DedeCMS w wersji 5.7.118 wykryto podatność klasy code injection (CWE-94) umożliwiającą zdalne wykonanie dowolnego kodu. Atakujący bez uwierzytelnienia może przejąć kontrolę nad serwerem poprzez spreparowane wartości tagów konfiguracyjnych w przesyłanym module.

▸ Pokaż oryginał (EN)

An issue was discovered in DedeCMS 5.7.118 allowing attackers to execute code via crafted setup tag values in a module upload.

🤖 Analiza AI

Jak działa

Podatność wykorzystuje mechanizm uploadu modułów w DedeCMS. Atakujący może dostarczyć spreparowany moduł zawierający złośliwe wartości tagów (setup tag values), które są następnie interpretowane i wykonywane przez aplikację bez odpowiedniej walidacji. Brak sanityzacji danych wejściowych prowadzi do wykonania arbitralnego kodu po stronie serwera. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia ani interakcji użytkownika, co czyni podatność szczególnie niebezpieczną.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnego kodu (RCE) na serwerze, co może prowadzić do pełnego przejęcia systemu, kradzieży danych, instalacji backdoorów lub dalszego lateral movement w infrastrukturze.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie aktualizacji na oficjalnej stronie producenta (dedecms.com) oraz — do czasu wdrożenia patcha — ograniczenie dostępu do funkcjonalności uploadu modułów wyłącznie do zaufanych, uwierzytelnionych użytkowników, najlepiej z poziomu firewall lub kontroli dostępu sieciowego.