Vulnerabilidades de Pachno
CVEs publicadas que afetam produtos de Pachno: 6 registro(s), com severidade, exploração e correções.
CVE-2026-40044
Crítica · 9.8
CWE-502 13/04/2026
Pachno 1.0.6 desserialização insegura via cache de arquivos levando à execução remota de código
O Pachno 1.0.6 contém uma vulnerabilidade de desserialização que permite a atacantes não autenticados executar código arbitrário ao injetar objetos serializados maliciosos em arquivos de cache. Atacantes podem gravar payloads de objetos PHP em arquivos de cache graváveis por todos, com nomes previsíveis no diretório de cache, que são desserializados durante a inicialização do framework antes das verificações de autenticação.
CVE-2026-40042
Crítica · 9.8
CWE-403 13/04/2026
Injeção de Entidade Externa XML (XXE) no TextParser do Pachno 1.0.6
Pachno 1.0.6 contém uma vulnerabilidade de injeção de entidade externa XML que permite que atacantes não autenticados leiam arquivos arbitrários explorando o parsing XML inseguro no auxiliar TextParser. Atacantes podem injetar entidades XML maliciosas por meio da sintaxe de tabelas wiki e de tags inline em descrições de issues, comentários e artigos wiki, para acionar a resolução de entidades via simplexml_load_string() sem as restrições LIBXML_NONET.
CVE-2026-40041
Média · 4.3
CWE-352 13/04/2026
Pachno 1.0.6 Cross-Site Request Forgery via State-Changing Endpoints
Pachno 1.0.6 contains a cross-site request forgery vulnerability that allows attackers to perform arbitrary actions in authenticated user context by exploiting missing CSRF protections on state-changing endpoints. Attackers can craft malicious requests targeting login, registration, file upload, milestone editing, and administrative functions to force logout, create accounts, modify roles, inject comments, or upload files when authenticated users visit attacker-controlled websites.
CVE-2026-40040
Alta · 8.8
CWE-434 13/04/2026
Pachno 1.0.6 Unrestricted File Upload Remote Code Execution
Pachno 1.0.6 contains an unrestricted file upload vulnerability that allows authenticated users to upload arbitrary file types by bypassing ineffective extension filtering to the /uploadfile endpoint. Attackers can upload executable files .php5 scripts to web-accessible directories and execute them to achieve remote code execution on the server.
CVE-2026-40039
Média · 6.5
CWE-305 13/04/2026
Pachno 1.0.6 Open Redirection via return_to Parameter
Pachno 1.0.6 contains an open redirection vulnerability that allows attackers to redirect users to arbitrary external websites by manipulating the return_to parameter. Attackers can craft malicious login URLs with unvalidated return_to values to conduct phishing attacks and steal user credentials.
CVE-2026-40038
Alta · 7.2
CWE-79 13/04/2026
Pachno 1.0.6 Stored Cross-Site Scripting via Multiple Parameters
Pachno 1.0.6 contains a stored cross-site scripting vulnerability that allows attackers to execute arbitrary HTML and script code by injecting malicious payloads into POST parameters. Attackers can inject scripts through the value, comment_body, article_content, description, and message parameters across multiple controllers, which are stored in the database and executed in users' browser sessions due to improper sanitization via Request::getRawParameter() or Request::getParameter() calls.