Уязвимость обхода пути в InstantSoft icms2 (CVE-2026-108567)
В InstantSoft icms2 до версии 2.18.2 обнаружена уязвимость обхода пути (path traversal) в компоненте обработки изображений. Уязвимость позволяет удалённо манипулировать аргументом size в функции files_delete_file, что может привести к несанкционированному доступу к файловой системе. Критичность оценивается как средняя (CVSS 5.3), однако эксплойт уже опубликован.
Подробности
Уязвимость затрагивает InstantSoft icms2 вплоть до версии 2.18.2 включительно. Опасность кроется в функции files_delete_file, расположенной в файле system/fields/image.php. При обработке аргумента size злоумышленник может передать специально сформированное значение, содержащее последовательности вроде «../», что позволяет выйти за пределы целевой директории и воздействовать на произвольные файлы в файловой системе. Согласно вектору CVSS 5.3 (AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:L), атака может быть проведена удалённо, не требует аутентификации и не нуждается в действиях пользователя. Уязвимость позволяет получить ограниченный доступ к конфиденциальной информации или вызвать частичный отказ в обслуживании. Несмотря на средний уровень критичности, наличие публичного эксплойта значительно повышает риски, так как злоумышленники могут автоматизировать сканирование и эксплуатацию уязвимых экземпляров. Разработчик выпустил исправление с идентификатором коммита 03d70937f1ff97031523222808726994b8b79379. Патч устраняет некорректную обработку аргумента size, блокируя возможность выхода за пределы разрешённых директорий.Что делать
Основная рекомендация — как можно скорее обновить InstantSoft icms2 до версии, содержащей исправление (патч 03d70937f1ff97031523222808726994b8b79379 или более позднюю). Если немедленное обновление невозможно, следует рассмотреть временные меры: - Ограничить доступ к функции files_delete_file на уровне веб-сервера или WAF, блокируя подозрительные значения аргумента size. - Провести аудит прав доступа к файловой системе, убедившись, что учётная запись веб-сервера имеет минимально необходимые привилегии. - Внимательно проверять логи на предмет попыток эксплуатации (например, запросы с «../» в параметрах). - После обновления обязательно сменить все пароли администраторов и проверить целостность критичных файлов.Итог
CVE-2026-108567 — умеренно опасная, но уже активно обсуждаемая уязвимость в icms2. Публичный эксплойт и низкая сложность атаки делают её привлекательной для злоумышленников. Единственный надёжный способ защиты — установка официального патча. Организациям, использующим icms2, рекомендуется включить данную проблему в план срочных мероприятий по устранению уязвимостей.Источник: CVE Project (cvelistV5)