Уязвимость отсутствия аутентификации в Files API MomoTommy file-management-system (CVE-2026-114261)
В MomoTommy file-management-system обнаружена уязвимость CVE-2026-114261 класса missing authentication в компоненте Files API (FileController.php). Проблема затрагивает функции index/store/update/destroy и позволяет удалённо манипулировать файлами без авторизации. Критичность оценена как средняя (CVSS 6.9), эксплойт уже опубликован.
Подробности
Уязвимость затрагивает функцию index/store/update/destroy в файле app/Http/Controllers/FileController.php компонента Files API. Манипуляция аргументом Request приводит к тому, что операции с файлами выполняются без надлежащей аутентификации. Атака может быть проведена удалённо, что существенно расширяет круг потенциальных атакующих. Уязвимость обнаружена в конкретной ревизии проекта — dc9ce1bf27f94b23d906cb1e86ce374dc94ca5df. Продукт не использует версионирование, поэтому точные сведения о затронутых и незатронутых релизах отсутствуют. Уровень критичности по CVSS составляет 6.9 (MEDIUM). Эксплойт уже стал публично доступен и может быть использован злоумышленниками. Проект был уведомлён о проблеме через issue-репорт, однако реакции со стороны мейнтейнеров пока не последовало.Что делать
Поскольку официального исправления на момент публикации нет, рекомендуется принять компенсирующие меры. В первую очередь следует ограничить сетевой доступ к Files API — не публиковать его в интернет и закрыть на уровне межсетевого экрана или reverse proxy. Целесообразно внедрить дополнительный слой аутентификации и авторизации перед компонентом (например, на уровне API-шлюза), а также организовать мониторинг аномальных запросов к методам index/store/update/destroy. При возможности стоит отслеживать репозиторий проекта на предмет появления патча и оперативно обновить код после его выпуска. Если функциональность Files API не используется, компонент следует отключить. Итог: CVE-2026-114261 — серьёзная проблема для инсталляций MomoTommy file-management-system, особенно доступных из сети. Отсутствие реакции мейнтейнеров и публичный эксплойт требуют от администраторов самостоятельных защитных мер: изоляция API, дополнительная аутентификация и мониторинг обращений к файловым операциям.Источник: CVE Project (cvelistV5)