CVE-2025-10940

NiskieCVSS 2.4

Opublikowano: 25/09/2025(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W Total.js CMS 1.0.0 w funkcji layouts_save komponentu Layout Page w pliku /admin/ występuje podatność na cross-site scripting (XSS) poprzez manipulację argumentem HTML. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Producent nie odpowiedział na zgłoszenie.

Ocena ryzyka

Ryzyko obejmuje możliwość wstrzyknięcia złośliwych skryptów przez zdalnego atakującego, co może prowadzić do kradzieży sesji, przejęcia kont administratora lub defacementu strony.

Rekomendacja

Zaleca się natychmiastowe zastosowanie poprawek lub tymczasowe wyłączenie funkcji layouts_save, a także walidację i sanityzację danych wejściowych (HTML) przed ich zapisaniem.

Inne podatności w Total.js CMS

CVE-2025-11019Niskie
W Total.js CMS (do wersji 19.9.0) wykryto podatność w nieznanej funkcji komponentu menu plików. Manipulacja prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was found in Total.js CMS 1.0.0. Affected by this vulnerability is the function layouts_save of the file /admin/ of the component Layout Page. Performing manipulation of the argument HTML results in cross site scripting. It is possible to initiate the attack remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS