CVE-2018-25425
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Yot CMS w wersji 3.3.1 zawiera podatność na wstrzykiwanie SQL, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnych zapytań SQL poprzez wstrzyknięcie złośliwego kodu w parametry aid i cid. Atakujący mogą wysyłać żądania GET do index.php z spreparowanymi ładunkami SQL w tych parametrach, aby wyodrębnić informacje z bazy danych, w tym nazwy tabel i kolumn.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do struktury bazy danych i wrażliwych danych, co może prowadzić do wycieku informacji i dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować Yot CMS do najnowszej wersji lub zastosować poprawkę zabezpieczającą przed wstrzykiwaniem SQL, np. poprzez walidację danych wejściowych.
Inne podatności w Yot CMS
Zobacz wszystkie- CVE-2026-90709Średnie
Wykryto podatność w Yot CMS do wersji 3.3.1. Dotyczy funkcji eval w pliku modsys/console/admin.php w komponencie Admin Console. Manipulacja argumentem text prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został ujawniony publicznie i może być użyty.
- CVE-2026-90708Wysokie
W Yot CMS do wersji 3.3.1 wykryto podatność w funkcji Login w pliku global.php komponentu Cookie Handler. Manipulacja argumentami yot3_user/yot3_pass prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach.
Oryginalny opis (angielski, źródło NVD)
Yot CMS 3.3.1 contains an SQL injection vulnerability that allows unauthenticated attackers to execute arbitrary SQL queries by injecting malicious code through the aid and cid parameters. Attackers can send GET requests to index.php with crafted SQL payloads in the aid or cid parameters to extract database information including table and column names.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS