CVE-2026-91844: RCE через неограниченную загрузку файлов в eimzamip
В продукте eimzamip от İzometri Informatics обнаружена уязвимость неограниченной загрузки файлов опасного типа, позволяющая злоумышленнику выполнить произвольный код на сервере. Проблема затрагивает версии с v1.6.4 до v1.6.6 и имеет высокий уровень критичности (CVSS 7.3). Рекомендуется срочно обновить продукт до v1.6.6.
Подробности
Уязвимость получила идентификатор CVE-2026-91844 и классифицируется как «Unrestricted Upload of File with Dangerous Type» (CWE-434). Она позволяет злоумышленнику загружать на сервер файлы с опасными расширениями, которые впоследствии могут быть выполнены, что открывает возможность для исполнения произвольного кода в контексте веб-приложения. Согласно описанию, проблема затрагивает продукт eimzamip в диапазоне версий от v1.6.4 (включительно) до v1.6.6 (исключая). Таким образом, уязвимыми являются версии v1.6.4 и v1.6.5. Версия v1.6.6, как указано в записи CVE, не подвержена данной уязвимости. Уязвимости присвоен базовый балл CVSS 7.3, что соответствует высокому уровню критичности. Такой показатель отражает значительный риск: успешная эксплуатация может привести к полной компрометации сервера, утечке конфиденциальных данных, нарушению целостности информации и использованию инфраструктуры жертвы для дальнейших атак. На текущий момент в записи CVE отсутствуют сведения о наличии публичных эксплойтов или фактах активной эксплуатации. Тем не менее, учитывая характер уязвимости (загрузка файлов), подобные проблемы часто становятся целью автоматизированных сканеров и атакующих вскоре после публикации информации.Что делать
Основной и наиболее надёжной мерой защиты является обновление продукта eimzamip до версии v1.6.6 или более поздней. Производитель выпустил исправление, устраняющее возможность загрузки файлов опасного типа, поэтому переход на актуальную версию закрывает вектор атаки. Если немедленное обновление невозможно, рекомендуется применить следующие компенсирующие меры: - Ограничить доступ к функционалу загрузки файлов только для доверенных пользователей и по возможности отключить его до установки патча. - Настроить строгую валидацию загружаемых файлов на стороне сервера: проверять расширение, MIME-тип и содержимое, используя белые списки разрешённых форматов. - Разместить загружаемые файлы вне корневой директории веб-сервера и запретить их исполнение средствами конфигурации сервера (например, отключить обработку скриптов в каталоге загрузок). - Внедрить мониторинг и логирование операций загрузки, а также использовать WAF для блокировки подозрительных запросов. - Провести проверку системы на предмет уже загруженных вредоносных файлов и следов компрометации. Организациям, использующим eimzamip, следует также оценить, имеет ли продукт доступ из интернета, и по возможности ограничить его сетевую доступность. Итог: CVE-2026-91844 — серьёзная уязвимость удалённого выполнения кода в eimzamip, затрагивающая версии v1.6.4 и v1.6.5. Единственным надёжным способом устранения является обновление до v1.6.6. До установки патча необходимо применять компенсирующие меры и усилить контроль за загрузкой файлов.Источник: CVE Project (cvelistV5)