Критический

Опубликована

CVE-2025-52921

Описание уязвимости

Публикация: 23.06.2025·Обновлена: 23.06.2025, 16:51·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

In Innoshop through 0.4.1, an authenticated attacker could exploit the File Manager functions in the admin panel to achieve code execution on the server, by uploading a crafted file and then renaming it to have a .php extension by using the Rename Function. This bypasses the initial check that uploaded files are image files. The application relies on frontend checks to restrict the administrator from changing the extension of uploaded files to .php. This restriction is easily bypassed with any proxy tool (e.g., BurpSuite). Once the attacker renames the file, and gives it the .php extension, a GET request can be used to trigger the execution of code on the server.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 24 ч

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

InnoShop / InnoShop

{
  "status": "affected",
  "version": "0",
  "versionType": "custom",
  "lessThanOrEqual": "0.4.1"
}

CVSS: оценки и векторы

CVSS 3.1 · cve9.9

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьвысокое

A · Доступностьнизкое

Классы CWE

CWE-420 · Незащищенный альтернативный канал

Источники и ссылки

Материал · github.com · cve Материал · medium.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-02T21:09:53.969518+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T13:05:07.381809+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T13:05:07.381809+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-02T21:09:53.969518+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T13:05:07.381809+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены03.11.2026, 00:09
Данные обновлены02.11.2026, 00:08
Данные обновлены31.10.2026, 11:55
Данные обновлены30.10.2026, 14:50
Данные обновлены28.10.2026, 18:04
Опубликована28.10.2026, 16:05

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-7630 innocommerce InnoShop Installation Endpoint InstallServiceProvider.php boot improper authentication innocommerce / InnoShop	Высокий	6.9	0,43 %	PoCПатч	02.05.2026
CVE-2026-108591 InnoShop 0.9.2 Local File Disclosure via AI Core MCP file_upload Tool innocommerce / InnoShop	Средний	5.9	0,27 %		10.10.2026
CVE-2026-18959 yushine InnoShop Files Endpoint panel-api.php destroyFiles path traversal yushine / InnoShop	Высокий	5.3	0,54 %	PoC	05.08.2026
CVE-2025-52922 Innoshop through 0.4.1 allows directory traversal via FileManager API endpoints. An authenticated at InnoShop / InnoShop	Высокий	7.4	0,47 %		23.06.2025
CVE-2025-52920 Innoshop through 0.4.1 allows Insecure Direct Object Reference (IDOR) at multiple places within the InnoShop / InnoShop	Средний	6.4	0,3 %		23.06.2025