CVE-2020-23630
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
W systemie zzcms w wersji 201910 wykryto podatność na ślepe wstrzykiwanie SQL oparte na czasie, wykorzystujące manipulację ciasteczkami. Atakujący może wysyłać spreparowane zapytania SQL poprzez parametry ciasteczek, co pozwala na nieautoryzowany dostęp do bazy danych.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży lub modyfikacji danych w bazie, co może prowadzić do naruszenia poufności i integralności informacji przechowywanych przez system zzcms.
Rekomendacja
Należy natychmiast zaktualizować system zzcms do najnowszej dostępnej wersji, która zawiera poprawki zabezpieczające przed wstrzykiwaniem SQL. Dodatkowo zaleca się walidację i sanityzację wszystkich danych wejściowych, w tym ciasteczek.
Inne podatności w zzcms
Zobacz wszystkie- CVE-2025-14837Średnie
W ZZCMS 2025 wykryto podatność w funkcji stripfxg pliku /admin/siteconfig.php w komponencie Backend Website Settings Module. Manipulacja argumentem icp prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
- CVE-2025-14836Niskie
Wada w ZZCMS 2025 dotyczy nieznanej funkcjonalności w pliku /reg/user_save.php komponentu User Data Storage Module. Manipulacja powoduje przechowywanie danych w postaci jawnego tekstu w pliku lub na dysku. Zdalne wykorzystanie ataku jest możliwe. Exploit został opublikowany.
- CVE-2025-13171Średnie
W ZZCMS 2023 wykryto podatność w pliku /admin/wangkan_list.php. Manipulacja argumentem keyword prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2023-36162Wysokie
W ZZCMS w wersji 2023 i wcześniejszych występuje podatność typu Cross Site Request Forgery, która pozwala zdalnemu atakującemu na uzyskanie uprawnień poprzez funkcję dodawania w pliku adminlist.php.
Oryginalny opis (angielski, źródło NVD)
A blind SQL injection vulnerability exists in zzcms ver201910 based on time (cookie injection).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS