BDU:2026-15758 — уязвимость системы управления содержимым сайта DIAFAN.CMS

По данным БДУ ФСТЭК России, по состоянию на 03.11.2026.

Уязвимость системы управления содержимым сайта DIAFAN.CMS связана с неограниченной загрузкой файлов опасного типа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, загружать произвольные файлы

Кого касается и что делать

• Уязвимое ПО: DIAFAN.CMS (ООО «Диафан») — версии 7.6.5
• Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
• Эксплойт: существует — обновление не откладывать

Сведения об уязвимости

Идентификаторы	BDU:2026-15758
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.2; CVSS 4.0 — 8.3; CVSS 2.0 — 8.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на конфиденциальность, высокое влияние на целостность
Вектор CVSS 4.0	AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N атака по сети, низкая сложность, нужны дополнительные условия атаки, без прав, без участия пользователя, ограниченное влияние на конфиденциальность, высокое влияние на целостность
Наименование ФСТЭК	Уязвимость системы управления содержимым сайта DIAFAN.CMS, связанная с неограниченной загрузкой файлов опасного типа, позволяющая нарушителю выполнить произвольный код
Даты	Обновлена ФСТЭК: 03.11.2026 · Выявлена: 08.09.2026
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует (эксплойт известен, в открытом доступе не опубликован)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-434 — неограниченная загрузка файлов опасного типа
Класс уязвимости	Уязвимость кода · Способ эксплуатации: злоупотребление функционалом
Обнаружена	Исследователи: Андрей Севостьянов, Артем Данилов, Артём Дейков, Владимир Власов, Евгений Копытин, Илья Цатуров, Олег Малышев, Сергей Белов (Positive Technologies)

Уязвимое ПО

• DIAFAN.CMS (ООО «Диафан») — 7.6.5 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Обновление системы управления содержимым сайта DIAFAN.CMS до версии 7.6.6 или выше

Источники

• www.diafan.ru/news/diafancms-766-obnovlenie-bezopasnosti/