CVE-2020-21228
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W JIZHICMS 1.5.1 w komponencie /user/release.html występuje podatność na atak XSS, która umożliwia atakującemu dowolne dodanie ciasteczka administratora.
Ocena ryzyka
Atakujący może przejąć sesję administratora, uzyskując pełną kontrolę nad systemem CMS, co prowadzi do kradzieży danych i nieautoryzowanych zmian.
Rekomendacja
Należy natychmiast zaktualizować JIZHICMS do najnowszej wersji oraz zastosować filtrowanie i kodowanie danych wejściowych w komponencie /user/release.html.
Inne podatności w JIZHICMS
Zobacz wszystkie- CVE-2025-25785Krytyczne
W JizhiCMS v2.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie \c\PluginsController.php. Umożliwia ona atakującemu skanowanie sieci wewnętrznej poprzez spreparowane żądanie.
- CVE-2025-25784Krytyczne
W Jizhicms v2.5.4 w komponencie TemplateController.php wykryto podatność na dowolne przesyłanie plików. Atakujący może przesłać spreparowany plik ZIP, co umożliwia zdalne wykonanie kodu na serwerze.
- CVE-2024-32161Krytyczne
JizhiCMS 2.5 zawiera podatność umożliwiającą wgrywanie plików bez odpowiedniej walidacji. Atakujący może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-116274Średnie
W JIZHICMS do wersji 2.5.6 wykryto lukę w funkcji Pay w pliku app/home/c/OrderController.php komponentu Front-end Order Handler. Manipulacja argumentem orderno prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie; exploit został publicznie ujawniony.
- CVE-2025-70397Wysokie
W systemie jizhicms 2.5.6 wykryto podatność na iniekcję SQL w funkcjach Article/deleteAll oraz Extmolds/deleteAll poprzez parametr data. Atakujący może wstrzyknąć złośliwe zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
- CVE-2025-14013Niskie
W JIZHICMS do wersji 2.5.5 zidentyfikowano podatność w nieznanej funkcji pliku /index.php/admins/Comment/addcomment.html w komponencie Comment Handler. Manipulacja argumentem body prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca został powiadomiony, ale nie odpowiedział.
- CVE-2025-14012Średnie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcjach deleteAll/findAll/delete w pliku /index.php/admins/Comment/deleteAll.html w komponencie Batch Delete Comments. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-14011Średnie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcji commentlist w pliku /index.php/admins/Comment/addcomment.html w komponencie Add Display Name Field. Manipulacja argumentami aid/tid prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
JIZHICMS 1.5.1 contains a cross-site scripting (XSS) vulnerability in the component /user/release.html, which allows attackers to arbitrarily add an administrator cookie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS