CVE-2023-36162
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W ZZCMS w wersji 2023 i wcześniejszych występuje podatność typu Cross Site Request Forgery, która pozwala zdalnemu atakującemu na uzyskanie uprawnień poprzez funkcję dodawania w pliku adminlist.php.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do nieautoryzowanego dostępu do funkcji administracyjnych, co może prowadzić do poważnych naruszeń bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację ZZCMS do najnowszej wersji oraz wdrożenie mechanizmów ochrony przed atakami CSRF.
Inne podatności w ZZCMS
Zobacz wszystkie- CVE-2025-14837Średnie
W ZZCMS 2025 wykryto podatność w funkcji stripfxg pliku /admin/siteconfig.php w komponencie Backend Website Settings Module. Manipulacja argumentem icp prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
- CVE-2025-14836Niskie
Wada w ZZCMS 2025 dotyczy nieznanej funkcjonalności w pliku /reg/user_save.php komponentu User Data Storage Module. Manipulacja powoduje przechowywanie danych w postaci jawnego tekstu w pliku lub na dysku. Zdalne wykorzystanie ataku jest możliwe. Exploit został opublikowany.
- CVE-2025-13171Średnie
W ZZCMS 2023 wykryto podatność w pliku /admin/wangkan_list.php. Manipulacja argumentem keyword prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
- CVE-2020-23630Wysokie
W systemie zzcms w wersji 201910 wykryto podatność na ślepe wstrzykiwanie SQL oparte na czasie, wykorzystujące manipulację ciasteczkami. Atakujący może wysyłać spreparowane zapytania SQL poprzez parametry ciasteczek, co pozwala na nieautoryzowany dostęp do bazy danych.
Oryginalny opis (angielski, źródło NVD)
Cross Site Request Forgery vulnerability in ZZCMS v.2023 and earlier allows a remote attacker to gain privileges via the add function in adminlist.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS