CVE-2026-63190：FearlessCMS 未授權除錯指令碼暴露檔案操作與 XSS 漏洞
CVE-2026-63190 - FearlessCMS: Unauthenticated debug scripts expose filesystem operations and XSS
FearlessCMS 在 0.1.4 之前的版本存在未授權除錯指令碼，允許攻擊者寫入任意檔案、執行 XSS 以及耗盡磁碟空間。
- 漏洞範圍：五個位於
admin/的 PHP 除錯指令碼缺少isLoggedIn()、CSRF 防護與路徑驗證。
此漏洞允許未授權者執行任意檔案寫入、XSS 與磁碟耗盡，讀者可即時評估更新或加固措施。
譯文尚未完整，完整內容請切換至原文。
FearlessCMS 是一個以簡潔與開源為核心的平面檔案 `content` 管理系統。在 0.1.4 版之前，`admin/` 下的五個除錯/測試 PHP 指令碼在執行特權操作時未進行 `isLoggedIn()` 認證檢查、CSRF 防護或足夠的 `path` 驗證。於 PHP 內建開發伺服器及預設 Docker 部署中，`router.php` 檢查未標準化的管理 URI 字首，而檔案系統會解析點段，導致 `/./admin/` 可繞過管理登入閘門直接執行這些指令碼。在 `admin/debug_save_flow.php`，攻擊者控制的 `path` 與 `content` 可直接傳遞至 `file_put_contents`，在 `content/` 內或透過 `path` 迴避寫入任意 `.md` 檔，造成網站偽造與公開頁面儲存 JavaScript；`print_r($_POST)` 的輸出未經 `htmlspecialchars` 轉義，也會造成反射型跨站指令碼。`admin/debug_content.php` 的 `path` 引數會觸發 `scandir()`、`file_get_contents()` 與 `posix_getpwuid()`，允許任意目錄列舉與 `.md` 檔讀取，洩露絕對路徑、所有者、許可權、雜湊與 `content` 預覽。`admin/preview-handler.php` 端點接受 JSON 的 `content` 與 `title`，並寫入可列舉檔案至 `content/_preview/`，可造成儲存型跨站指令碼與磁碟耗盈。`admin/testdebug.php` 端點在未經認證下追加至 `admin/testdebug.log`，亦可造成磁碟耗盈。`admin/test_redirect.php` 指令碼雖暴露測試 artefact，但已對輸入進行轉義，並非 XSS sink。儲存指令碼執行可竊取會話並在管理員瀏覽受影響 `content` 時危害管理員。讀寫操作以 PHP 許可權執行；測試部署以 root 執行 PHP，放大檔案系統影響。此問題已於 0.1.4 版修復.
影響
受影響產品
以下產品受到 CVE-2026-63190 漏洞影響。即使 cvefeed.io 知道受影響產品的確切版本，資訊也未在下表中呈現。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Fearlessgeekmedia | fearlesscms |
公共漏洞評分系統（Common Vulnerability Scoring System）是一個標準化框架，用於評估軟體與系統中漏洞的嚴重性。我們收集並顯示各來源的 CVSS 分數，為每個 CVE 提供資訊。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 關鍵 | MITRE-CVE | ||||
| CVSS 3.1 | 關鍵 | [email protected] |
將 FearlessCMS 更新至 0.1.4 版或更高版本，以修補身份驗證繞過與檔案操作漏洞。
- 將 FearlessCMS 更新至 0.1.4 版。
- 若無法更新，請套用供應商修補程式。
- 審查並加固管理員指令碼。
- 限制檔案系統存取。
這裡您將找到精選的外部連結，提供與 CVE-2026-63190 相關的深入資訊、實用解決方案與寶貴工具。
雖然 CVE 標識具體的漏洞例項，CWE 則分類可能導致漏洞的常見缺陷或弱點。CVE-2026-63190 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式描述了對手為利用 CVE-2026-63190 弱點所採用的共通屬性與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞利用。以下列表是已在 GitHub 釋出的公開漏洞利用與概念驗證，依最近更新時間排序。
由於潛在的效能問題，結果限制為前 15 個倉庫。
以下列表為文章中提及 CVE-2026-63190 漏洞的新聞。
下表列出 CVE-2026-63190 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並辨識可能影響其嚴重性、可利用性或其他特徵的最新變更。
-
新 CVE 已收到 由 [email protected]
十月. 28, 2026
Action Type Old Value New Value Added Description FearlessCMS 是一個以簡潔與開源為核心的平面檔案 `content` 管理系統。在 0.1.4 版本之前，`admin/` 下的五個除錯/測試 PHP 指令碼執行特權操作時，未做 `isLoggedIn()` 認證檢查、CSRF 防護或足夠的 `path` 驗證。在 PHP 內建開發伺服器（含預設的 Docker 部署）中，`router.php` 會檢查未標準化的管理員 URI 字首，而檔案系統會解析點段，導致 `/./admin/` 能繞過管理員登入閘道直接執行這些指令碼。於 `admin/debug_save_flow.php`，攻擊者可控制的 `path` 與 `content` 直接傳遞給 `file_put_contents`，在 `content/` 內或利用 `path` traversal 在其外寫入任意 `.md` 檔，從而造成網站毀損與在公開頁面中儲存 JavaScript；`print_r($_POST)` 未經 `htmlspecialchars` 轉譯亦會引發反射式跨站指令碼。`admin/debug_content.php` 的 `path` 引數會呼叫 `scandir()`、`file_get_contents()` 與 `posix_getpwuid()`，允許任意目錄列舉與 `.md` 檔讀取，洩露絕對路徑、擁有者、許可權、雜湊及 `content` 預覽。`admin/preview-handler.php` 端點接受 JSON `content` 與 `title`，並在 `content/_preview/` 下寫入可列舉檔案，進一步允許儲存式跨站指令碼及磁碟耗盡。`admin/testdebug.php` 端點在未經身份驗證的情況下追加至 `admin/testdebug.log`，同樣可導致磁碟耗盡。`admin/test_redirect.php` 指令碼雖暴露測試 artefact，但已對輸入進行逃脫，並非 XSS 池。儲存式指令碼執行可竊取 session 並在管理員瀏覽受影響的 `content` 時造成管理許可權被奪。讀寫操作以 PHP 許可權執行；測試部署以 root 身份執行 PHP，放大了檔案系統影響。此問題已於 0.1.4 版本修復。 新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L 新增 CWE CWE-79 新增 CWE CWE-22 新增 CWE CWE-200 新增 CWE CWE-306 已新增 CWE CWE-288 已新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/63xxx/CVE-2026-63190.json">CVE-2026-63190</a> 已新增 參考 https://github.com/fearlessgeekmedia/FearlessCMS/commit/59fb22cf989b5ba14c387c3212e15b146e02cf9a 已新增 參考 https://github.com/fearlessgeekmedia/FearlessCMS/security/advisories/GHSA-3mq8-hrhf-7hv6 已新增 參考 https://github.com/fearlessgeekmedia/FearlessCMS/tree/0.1.4
EPSS 是對未來 30 天內可能觀測到的利用活動機率的每日估算。以下圖表顯示此漏洞的 EPSS 分數歷史。