CVE-2026-116063: инъекция кода в DedeCMS через update_guide.php
В системе управления контентом DedeCMS выявлена уязвимость, связанная с внедрением кода. Проблема получила идентификатор CVE-2026-116063 и затрагивает версии продукта до 5.7.118 включительно. Поскольку эксплойт уже находится в открытом доступе, риск практического использования уязвимости возрастает, и администраторам сайтов на DedeCMS стоит отнестись к информации внимательно.
Подробности
Уязвимость локализована в файле dede/update_guide.php, в функции require_once. Манипулирование аргументом vtime позволяет злоумышленнику внедрить код, который затем исполняется на сервере. Атака возможна удалённо, без необходимости локального доступа к системе.
Уязвимости присвоена оценка CVSS 5.1, что соответствует среднему уровню критичности. Невысокий балл связан со сложностью эксплуатации и требованиями к условиям атаки, однако сам факт инъекции кода при доступном публичном эксплойте делает угрозу значимой: успешная эксплуатация может привести к компрометации веб-приложения и выполнению произвольных операций на сервере.
Затронут продукт DedeCMS версий до 5.7.118. Точный перечень уязвимых сборок в записи CVE не детализируется, поэтому рекомендуется исходить из того, что все версии вплоть до указанной подвержены риску.
Что делать
Основная рекомендация — обновить DedeCMS до актуальной версии, в которой устранена уязвимость. Если обновление пока невозможно, следует рассмотреть временные меры защиты:
- ограничить доступ к административным скриптам, включая
dede/update_guide.php, по IP-адресам или с помощью дополнительной аутентификации на уровне веб-сервера; - проверить, не используется ли указанный файл в рабочей конфигурации, и при возможности удалить или изолировать его;
- настроить правила WAF для блокировки подозрительных запросов с манипуляциями параметром
vtime; - проанализировать журналы веб-сервера на предмет попыток обращения к уязвимому скрипту и аномальных запросов;
- усилить мониторинг целостности файлов и контроль исполняемых процессов на сервере.
После выпуска патча обновление следует установить в приоритетном порядке, а также провести проверку системы на признаки компрометации, учитывая публичную доступность эксплойта.
Уязвимость CVE-2026-116063 в DedeCMS демонстрирует типичный риск для устаревших установок популярных CMS: даже средний уровень CVSS не отменяет опасности при наличии готового эксплойта. Своевременное обновление и минимизация доступности административных интерфейсов остаются базовыми мерами защиты.
Источник: CVE Project (cvelistV5)