Plateforme
php
Composant
dd6df2db50fd0146b72fc4e0766a4ffd
Corrigé dans
1.0.1
CVE-2026-5041 est une vulnérabilité d'injection de commandes affectant Chamber of Commerce Membership Management System 1.0. Plus précisément, la fonction fwrite du fichier admin/pageMail.php est vulnérable via la manipulation des arguments mailSubject et mailMessage. Cette vulnérabilité permet une exécution de commandes à distance. Un exploit est publiquement disponible, ce qui augmente le risque d'exploitation. Aucun correctif officiel n'est actuellement disponible.
Une vulnérabilité d'injection de commandes a été identifiée dans le système de gestion des adhésions de la Chambre de Commerce code-projects version 1.0 (CVE-2026-5041). La fonction fwrite dans le fichier admin/pageMail.php est vulnérable à la manipulation des arguments mailSubject et mailMessage, permettant à un attaquant d'exécuter des commandes arbitraires sur le serveur. Cette vulnérabilité est particulièrement préoccupante car elle peut être exploitée à distance, ce qui signifie qu'un attaquant n'a pas besoin d'un accès physique au système pour le compromettre. La disponibilité publique d'un exploit aggrave encore le risque, car elle facilite l'exploitation par des acteurs malveillants ayant différents niveaux de compétences techniques. L'absence de correctif (fix) disponible implique que les utilisateurs de ce système sont actuellement exposés à ce risque.
La vulnérabilité réside dans la fonction fwrite du fichier admin/pageMail.php. Un attaquant peut injecter des commandes malveillantes via les champs mailSubject ou mailMessage. Ces champs, lorsqu'ils sont traités par la fonction fwrite, permettent l'exécution de commandes du système d'exploitation. L'exploitation est à distance, ce qui signifie que l'attaquant peut envoyer des données malveillantes via une requête HTTP depuis n'importe quel endroit disposant d'un accès à Internet. La disponibilité publique de l'exploit simplifie l'exploitation, même pour les utilisateurs ayant des compétences techniques limitées. L'absence de validation ou d'assainissement des entrées utilisateur est la cause principale de cette vulnérabilité.
Organizations utilizing the Chamber of Commerce Membership Management System version 1.0, particularly those hosting the application on publicly accessible servers, are at significant risk. Shared hosting environments where multiple users share the same server are especially vulnerable, as a compromise of one user's instance could potentially impact others.
• php / server:
grep -r 'fwrite($_SERVER["mailSubject"]' /var/www/html/admin/pageMail.php• generic web:
curl -I http://your-chamber-system/admin/pageMail.php?mailSubject=;id;• generic web:
curl -I http://your-chamber-system/admin/pageMail.php?mailMessage=;id;disclosure
Statut de l'Exploit
EPSS
0.33% (percentile 56%)
CISA SSVC
Vecteur CVSS
Étant donné qu'il n'existe aucun correctif officiel pour CVE-2026-5041, il est fortement recommandé aux utilisateurs du système de gestion des adhésions de la Chambre de Commerce code-projects version 1.0 de cesser d'utiliser le système immédiatement. Si l'utilisation continue est absolument nécessaire, des mesures d'atténuation temporaires doivent être mises en œuvre, telles que la restriction de l'accès à la fonction admin/pageMail.php aux utilisateurs autorisés et la surveillance étroite des journaux système à la recherche d'activités suspectes. De plus, il est fortement recommandé aux utilisateurs de rechercher une alternative au système ou de contacter le développeur pour demander une mise à jour de sécurité. La mise à niveau vers une version plus récente, si elle est disponible, est la solution à long terme la plus efficace.
Actualizar el sistema Chamber of Commerce Membership Management System a una versión posterior a la 1.0, si existe, que corrija la vulnerabilidad de inyección de comandos en el archivo pageMail.php. De no existir una actualización, se recomienda deshabilitar o eliminar el sistema para evitar posibles ataques.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
C'est un identifiant unique pour cette vulnérabilité spécifique, ce qui facilite son suivi et sa référence.
C'est une technique d'attaque qui permet à un attaquant d'exécuter des commandes arbitraires sur un système informatique.
Cessez d'utiliser le système immédiatement et recherchez une alternative ou contactez le développeur pour obtenir une mise à jour.
Restreignez l'accès à la fonction admin/pageMail.php et surveillez les journaux système à la recherche d'activités suspectes.
Actuellement, il n'y a pas de correctif officiel disponible.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.