CVE-2025-65656

Luka sklasyfikowana jako CWE-98 (PHP Remote File Inclusion) polega na nieprawidłowej kontroli nazwy pliku używanego w instrukcji include/require w pliku VersionManager.php. Atakujący może dostarczyć spreparowaną wartość wskazującą na zewnętrzny lub lokalny zasób, co skutkuje dołączeniem i wykonaniem niezaufanego kodu PHP. Ze względu na wektor sieciowy (AV:N) oraz brak wymagań dotyczących uprawnień (PR:N) i interakcji użytkownika (UI:N), atak może być przeprowadzony zdalnie przez nieuwierzytelnionego napastnika.

Atakujący może osiągnąć pełną kompromitację serwera poprzez zdalne wykonanie dowolnego kodu (RCE), a także uzyskać dostęp do poufnych danych, zmodyfikować je lub doprowadzić do niedostępności aplikacji.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się śledzenie repozytorium projektu (https://github.com/jqhph/dcat-admin) w celu uzyskania zaktualizowanej wersji oraz niezwłoczne wdrożenie poprawki. Do czasu zastosowania patcha rekomenduje się ograniczenie dostępu sieciowego do panelu administracyjnego Dcat Admin za pomocą firewall lub mechanizmów uwierzytelniania na poziomie infrastruktury.

Dcat Admin w wersji 2.2.3-beta oraz wszystkich wcześniejszych wersjach.

Szczegóły techniczne podatności dostępne są pod adresem: https://github.com/lznlol/operation-log/blob/main/CVE-2025-65656.md