CVE-2025-50722

RCE w Sparkshop v.1.1.7 — podatność w komponencie Common.php

CVSS 9.8v3.1pub. 2025-08-25upd. 2025-09-09

Podatność klasy command injection (CWE-77) w aplikacji Sparkshop w wersji 1.1.7 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu na serwerze bez konieczności uwierzytelnienia. Ocena CVSS 9.8 (CRITICAL) wskazuje na wyjątkowo wysokie ryzyko dla systemów wystawionych na dostęp sieciowy.

▸ Pokaż oryginał (EN)

Insecure Permissions vulnerability in sparkshop v.1.1.7 allows a remote attacker to execute arbitrary code via the Common.php component

🤖 Analiza AI

Jak działa

Błąd wynika z niebezpiecznych uprawnień oraz nieprawidłowej walidacji danych wejściowych w komponencie Common.php. Atakujący może przesłać specjalnie spreparowane żądanie sieciowe, które zostaje osadzone w poleceniu wykonywanym przez serwer bez odpowiedniej sanityzacji. Wektor ataku sieciowy (AV:N), brak wymagań dotyczących uprawnień (PR:N) oraz brak interakcji użytkownika (UI:N) sprawiają, że exploit może być przeprowadzony całkowicie zdalnie i automatycznie.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem, w tym odczyt i modyfikację danych (C:H, I:H) oraz doprowadzenie do niedostępności usługi (A:H). W praktyce oznacza to możliwość przejęcia serwera, kradzieży danych lub instalacji złośliwego oprogramowania.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu aplikacji wyłącznie do zaufanych adresów IP oraz monitorowanie nietypowej aktywności na serwerze.

Kogo dotyczy

Sparkshop w wersji 1.1.7

Uwagi

Szczegółowy opis techniczny podatności dostępny jest w referencji opublikowanej w serwisie GitHub (plik SparkShop.pdf). Podatność nie figuruje w katalogu CISA KEV na dzień publikacji.