home / blog
2026-10-30 · alta
CVE-2026-38751: Arbitrary File Upload in OpenSTAManager
Falla upload arbitrario in OpenSTAManager ≤2.10 nel modulo aggiornamenti. CVSS 7,2 high.
CVE-2026-38751 è una vulnerabilità di arbitrary file upload nel modulo di aggiornamento di OpenSTAManager versione 2.10 e precedenti. La falla risiede nello script modules/aggiornamenti/upload_modules.php e consente il caricamento non autorizzato di file. Amministratori di sistema e team IT che gestiscono istanze di OpenSTAManager sono direttamente esposti al rischio di compromissione.
Il CVSS è 7,2, classificato come high severity. La vulnerabilità è stata pubblicato su NVD il 4 maggio 2026. A oggi (30 ottobre 2026), repository pubblici su GitHub riportano toolkit per file upload e code execution correlati. Questi segnali indicano interesse attivo nella falla, sebbene non confermino sfruttamento pubblico verificato. Lo status rimane non confermato al di fuori di questi indicatori.
In difesa: verificare quale versione di OpenSTAManager è in esecuzione nei vostri sistemi. Attendere patch ufficiale dal vendor e applicarla non appena disponibile. Nel frattempo, implementare controllo d'accesso rigoroso al modulo aggiornamenti, limitandolo a personale autorizzato. Monitorare i log di caricamento file e accessi al modulo, cercando pattern anomali o file inattesi.
In sintesi
- Cosa
- Upload arbitrario di file in modules/aggiornamenti/upload_modules.php, OpenSTAManager ≤2.10
- Gravità
- CVSS 7,2, classificazione high. Consente caricamento non autorizzato in funzionalità critica.
- Versioni interessate
- OpenSTAManager 2.10 e versioni precedenti
- Correzione
- Non riportato. Attendere patch dal vendor.
- Stato
- Pubblicato NVD 4 maggio 2026. Segnali GitHub 30 ottobre 2026 su toolkit file-upload/code-exec correlati.
- Azione
- Verificare versione installata. Applicare patch appena disponibile. Limitare accesso al modulo a personale autorizzato. Monitorare upload anomali nei log.
Fonti: NVD, CVE-2026-38751