BDU:2026-15760 — уязвимость системы управления содержимым сайта DIAFAN.CMS

По данным БДУ ФСТЭК России, по состоянию на 03.11.2026.

Уязвимость системы управления содержимым сайта DIAFAN.CMS связана с отсутствием аутентификации для критичной функции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность и целостность защищаемой информации

Кого касается и что делать

• Уязвимое ПО: DIAFAN.CMS (ООО «Диафан») — версии 7.6.5
• Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
• Эксплойт: существует — обновление не откладывать

Сведения об уязвимости

Идентификаторы	BDU:2026-15760
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.2; CVSS 4.0 — 8.3; CVSS 2.0 — 8.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, ограниченное влияние на целостность
Вектор CVSS 4.0	AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N атака по сети, низкая сложность, нужны дополнительные условия атаки, без прав, без участия пользователя, высокое влияние на конфиденциальность, ограниченное влияние на целостность
Наименование ФСТЭК	Уязвимость системы управления содержимым сайта DIAFAN.CMS, связанная с отсутствием аутентификации для критичной функции, позволяющая нарушителю оказать воздействие на конфиденциальность и целостность защищаемой информации
Даты	Обновлена ФСТЭК: 03.11.2026 · Выявлена: 08.09.2026
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует (эксплойт известен, в открытом доступе не опубликован)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-306 — отсутствие аутентификации для критичной функции
Класс уязвимости	Уязвимость кода · Способ эксплуатации: нарушение аутентификации
Обнаружена	Исследователи: Андрей Севостьянов, Артем Данилов, Артём Дейков, Владимир Власов, Евгений Копытин, Илья Цатуров, Олег Малышев, Сергей Белов (Positive Technologies)

Уязвимое ПО

• DIAFAN.CMS (ООО «Диафан») — 7.6.5 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Обновление системы управления содержимым сайта DIAFAN.CMS до версии 7.6.6 или выше

Источники

• www.diafan.ru/news/diafancms-766-obnovlenie-bezopasnosti/