CVE-2025-13171
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W ZZCMS 2023 wykryto podatność w pliku /admin/wangkan_list.php. Manipulacja argumentem keyword prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Zaktualizuj ZZCMS do wersji zawierającej poprawkę lub wdróż filtrowanie danych wejściowych. Do czasu aktualizacji ogranicz dostęp do panelu administracyjnego.
Inne podatności w ZZCMS
Zobacz wszystkie- CVE-2025-14837Średnie
W ZZCMS 2025 wykryto podatność w funkcji stripfxg pliku /admin/siteconfig.php w komponencie Backend Website Settings Module. Manipulacja argumentem icp prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
- CVE-2025-14836Niskie
Wada w ZZCMS 2025 dotyczy nieznanej funkcjonalności w pliku /reg/user_save.php komponentu User Data Storage Module. Manipulacja powoduje przechowywanie danych w postaci jawnego tekstu w pliku lub na dysku. Zdalne wykorzystanie ataku jest możliwe. Exploit został opublikowany.
- CVE-2023-36162Wysokie
W ZZCMS w wersji 2023 i wcześniejszych występuje podatność typu Cross Site Request Forgery, która pozwala zdalnemu atakującemu na uzyskanie uprawnień poprzez funkcję dodawania w pliku adminlist.php.
- CVE-2020-23630Wysokie
W systemie zzcms w wersji 201910 wykryto podatność na ślepe wstrzykiwanie SQL oparte na czasie, wykorzystujące manipulację ciasteczkami. Atakujący może wysyłać spreparowane zapytania SQL poprzez parametry ciasteczek, co pozwala na nieautoryzowany dostęp do bazy danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in ZZCMS 2023. This impacts an unknown function of the file /admin/wangkan_list.php. Such manipulation of the argument keyword leads to sql injection. The attack can be launched remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS