CVE-2025-11136

ŚrednieCVSS 4.7

Opublikowano: 29/09/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.40%

Percentyl 32 - wyżej niż 32% wszystkich znanych CVE

Streszczenie

CMS YiFang do wersji 2.0.2 ma podatność nieograniczonego przesyłania plików w funkcji webUploader pliku app/app/controller/File.php w komponencie Backend. Manipulacja argumentem uploadpath umożliwia zdalny atak. Exploit został opublikowany.

Ocena ryzyka

Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do zdalnego wykonania kodu i pełnego przejęcia systemu.

Rekomendacja

Zaktualizuj CMS YiFang do najnowszej wersji i wdróż walidację typów plików oraz ograniczenia katalogu przesyłania.

Inne podatności w YiFang CMS

CVE-2026-6633Niskie
W systemie Yifang CMS do wersji 2.0.5 odkryto lukę cross-site scripting w funkcji store pliku plugins/yifang_backend_account/logic/admin/L_rbac_admin.php komponentu Extended Management Module. Manipulacja argumentem Account prowadzi do wstrzyknięcia skryptu. Atak można wykonać zdalnie, a exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in YiFang CMS up to 2.0.2. The impacted element is the function webUploader of the file app/app/controller/File.php of the component Backend. Executing manipulation of the argument uploadpath can lead to unrestricted upload. The attack can be launched remotely. The exploit has been published and may be used.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS