Hakerzy mogą przejąć kontrolę nad ThemisNETPanel

Krytyczna luka w oprogramowaniu 4real

CERT Polska ostrzega przed poważną dziurą w aplikacji ThemisNETPanel od producenta 4real. Błąd otrzymał oznaczenie CVE-2026-6847. To konkretny problem.

Chodzi o wszystkie wersje wydane przed kwietniem 2026 roku.

Zdalne wykonanie kodu przez brak uwierzytelnienia

Podatność CWE-306 wynika z braku weryfikacji tożsamości przy przesyłaniu plików. Aplikacja posiada endpoint, przez który nieuprawniona osoba może wrzucić dowolne pliki PHP zakodowane w base64.

Efekt jest prosty: hakerzy zdalnie uruchomią dowolny kod na serwerze.

Naprawa błędu i zgłoszenie

Producent załatał lukę w aktualizacji z kwietnia 2026 roku. CERT Polska koordynował cały proces ujawniania informacji.

Za znalezienie błędu podziękowano Robertowi Kruczkowi oraz Kamilowi Szczurowskiemu.

Źródło: CERT