CVE-2026-10273

php-censor Webhook Endpoint GitBuild.php os command injection

CVSS 3.1Medium

6.9/ 10.0

Опубликовано

1 июня 2026 г.

Обновлено

3 июня 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Примените патч с хэшем коммита cd68d102601320bd319d590b75f7652e66f0685f либо обновите php-censor до версии выше 2.1.6.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Уязвимость внедрения команд ОС (OS Command Injection) в вебхуке CI-системы php-censor версий до 2.1.6 включительно. Позволяет неаутентифицированному атакующему выполнять произвольный код на хосте.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Точка входа находится в компоненте Webhook Endpoint, файл src/Model/Build/GitBuild.php. Входной параметр commitId передается в системную команду оболочки без предварительной санитизации и экранирования.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Удаленное выполнение произвольных команд ОС (RCE) в контексте учетной записи веб-сервера. Эксплойт опубликован в открытом доступе.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (8)

vuldb.comhttps://vuldb.com/vuln/367552
vuldb.comhttps://vuldb.com/vuln/367552/cti
vuldb.comhttps://vuldb.com/cve/CVE-2026-10273
vuldb.comhttps://vuldb.com/submit/825315
github.comhttps://github.com/php-censor/php-censor/issues/442
github.comhttps://github.com/php-censor/php-censor/pull/441
github.comhttps://github.com/php-censor/php-censor/commit/cd68d102601320bd319d590b75f7652e66f0685f
github.comhttps://github.com/php-censor/php-censor/

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-10273: php-censor Webhook Endpoint GitBuild.php os command injection. URL: https://cve.futuretools.ru/cve/CVE-2026-10273

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_10273,
  title = {{CVE-2026-10273: php-censor Webhook Endpoint GitBuild.php os command injection}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-10273}},
  note = {Оперативный инженерный анализ киберугроз}
}