CVE-2026-120349
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions de XunRuiCMS jusqu'à la 4.7.4 sont affectées par une faille dans le composant Mobile Site Directory. Le problème se situe au niveau de la fonction `str_replace` dans le fichier `index.php`, où l'argument `dirname` n'est pas correctement assaini. Cela permet à un utilisateur distant d'injecter du code malveillant directement dans l'application.
Un attaquant peut exécuter à distance du code arbitraire sur le serveur sans avoir besoin d'authentification ni d'interaction de la part de l'utilisateur. Cela compromet la confidentialité, l'intégrité et la disponibilité du système, bien que l'impact soit limité aux privilèges de l'utilisateur du serveur web. L'exploit étant public et ne nécessitant qu'un accès réseau, sa mise en œuvre est relativement simple.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A security flaw has been discovered in dayrui XunRuiCMS up to 4.7.4. Affected by this issue is the function str_replace of the file /var/www/html/zzmob/index.php of the component Mobile Site Directory. The manipulation of the argument dirname results in code injection. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.