CVE-2026-63190— FearlessCMS 未认证调试脚本文件系统操作及 XSS 漏洞
一分钟漏洞结论
影响对象
fearlessgeekmedia FearlessCMS
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
FearlessCMS 是一个以简洁性和开源为核心的扁平文件内容管理系统。在 0.1.4 版本之前，位于 目录下的五个调试/测试 PHP 脚本在执行特权操作时，未进行 身份验证检查，也缺乏 CSRF 防护以及充分的路径验证。在 PHP 内置开发服务器（包括默认的 Docker 部署）中， 检查的是未经归一化的管理 URI 前缀，而文件系统会解析点号段（如 或 ），因此攻击者可通过 绕过管理员登录验证，直接执行这些脚本。 具体漏洞影响如下： 在 中，攻击者可控制的 和 参数会被直接传入 函数，导致可在 目录下或通过路
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| fearlessgeekmedia | FearlessCMS | < 0.1.4 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-63190 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
FearlessCMS: Unauthenticated debug scripts expose filesystem operations and XSS
来源: CVE Program / CVE List V5
Vulnerability Description
FearlessCMS is a flat-file `content` management system centered on simplicity and open source. Prior to version 0.1.4, five debug/test PHP scripts under `admin/` perform privileged operations without `isLoggedIn()` authentication checks, CSRF protection or adequate `path` validation. On PHP's built-in development server, including the default Docker deployment, `router.php` checks an unnormalized admin URI prefix while the filesystem resolves dot segments, so `/./admin/` bypasses the admin login gate and executes those scripts directly. In `admin/debug_save_flow.php`, attacker-controlled `path` and `content` reach `file_put_contents` for arbitrary `.md` writes under `content`/ or outside it through `path` traversal, enabling site defacement and stored JavaScript in public pages; `print_r($_POST)` output without `htmlspecialchars` escaping also causes reflected cross-site scripting. The `admin/debug_content.php` `path` parameter reaches `scandir()`, `file_get_contents()` and `posix_getpwuid()`, permitting arbitrary directory enumeration and `.md` file reads that expose absolute paths, ownership, permissions, hashes and `content` previews. The `admin/preview-handler.php` endpoint accepts JSON `content` and `title` and writes enumerable files under `content/_preview/`, enabling stored cross-site scripting and disk exhaustion. The `admin/testdebug.php` endpoint appends to `admin/testdebug.log` without authentication, also enabling disk exhaustion. The `admin/test_redirect.php` script exposes a test artifact but escapes its inputs and is not itself an XSS sink. Stored script execution can steal sessions and compromise administrators when they view affected `content`. Reads and writes execute with PHP's privileges; the tested deployment runs PHP as root, amplifying filesystem impact. This issue is fixed in version 0.1.4.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
关键功能的认证机制缺失
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| fearlessgeekmedia | FearlessCMS | < 0.1.4 | - |
|
二、漏洞 CVE-2026-63190 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-63190 的情报信息
请登录查看更多情报信息。
CVE-2026-63190 其他参考 (3)
-
https://github.com/fearlessgeekmedia/FearlessCMS/tree/0.1.4 x_refsource_MISC
IV. Related Vulnerabilities
Same product: FearlessCMS