CVE-2025-32028 – Unsicherer Datei-Upload in HAX CMS PHP

Beschreibung

HAX CMS PHP blockiert beim Datei-Upload bestimmte Dateitypen über eine Sperrliste, die nur .php, .sh, .js und .css umfasst und nicht vollständig ist. Die Logik fällt im Fehlerfall offen statt geschlossen aus (fail open), sodass gefährliche Dateien hochgeladen werden können. Die Schwachstelle ist in Version 10.0.3 behoben. CVSS-Basiswert: 9.9 (Kritisch). Empfohlene Massnahme: auf Version 10.0.3 aktualisieren.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in PHP

• Joomla JCE-Editor: Unauthentifizierte PHP-Code-Ausführung KEV CVE-2026-48907
• Zimbra Collaboration Suite – PHP Remote File Inclusion (aktiv ausgenutzt) KEV CVE-2025-68645
• PHPMailer Command Injection Vulnerability KEV CVE-2016-10033
• PHP-CGI OS Command Injection Vulnerability KEV CVE-2024-4577
• Juniper Junos OS EX Series PHP External Variable Modification Vulnerability KEV CVE-2023-36844
• Juniper Junos OS EX/SRX Series PHP External Variable Modification Vulnerability KEV CVE-2023-36845