CVE-2021-47964

Wysokie

Opublikowano: 15/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Schlix CMS w wersji 2.2.6-6 zawiera podatność na zdalne wykonanie kodu, która pozwala uwierzytelnionym atakującym na wykonanie dowolnego kodu PHP poprzez przesyłanie złośliwych pakietów rozszerzeń za pomocą menedżera bloków. Atakujący mogą przesłać spreparowany plik ZIP zawierający kod PHP w pliku packageinfo.inc i wywołać jego wykonanie, uzyskując dostęp do zakładki 'O programie' zainstalowanego rozszerzenia.

Ocena ryzyka

Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia atakującym wykonanie dowolnego kodu na serwerze, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.

Rekomendacja

Zaleca się aktualizację Schlix CMS do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.

Inne podatności w Schlix CMS 2.2.6-6

CVE-2025-67443Średnie
Schlix CMS przed wersją v2.2.9-5 jest podatny na Cross Site Scripting (XSS). Z powodu braku sanityzacji JavaScript w formularzu logowania, nieudane próby logowania są rejestrowane w logach jako XSS w panelu administracyjnym.

Oryginalny opis (angielski, źródło NVD)

Schlix CMS 2.2.6-6 contains a remote code execution vulnerability that allows authenticated attackers to execute arbitrary PHP code by uploading malicious extension packages through the block manager. Attackers can upload a crafted ZIP file containing PHP code in the packageinfo.inc file and trigger execution by accessing the About tab of the installed extension.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS