CVE-2025-14966
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W FastAdmin do wersji 1.7.0.20250506 wykryto lukę w funkcji selectpage pliku application/common/controller/Backend.php w komponencie Backend Controller. Manipulacja argumentem custom/searchField prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność pozwala zdalnemu atakującemu na wstrzyknięcie SQL, co może skutkować nieautoryzowanym dostępem do bazy danych lub jej modyfikacją. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Zaktualizuj FastAdmin do najnowszej wersji, jeśli jest dostępna, lub zastosuj środki zaradcze (np. WAF). Ogranicz dostęp do panelu administracyjnego.
Inne podatności w FastAdmin
Zobacz wszystkie- CVE-2026-51775Krytyczne
Fastadmin w wersji 1.6.1.20250430 zawiera podatność na wstrzykiwanie SQL w komponencie application/common/controller/Backend.php, umożliwiającą atakującemu wykonanie dowolnego kodu.
- CVE-2026-102247Średnie
Wykryto podatność w FastAdmin 1.6.1.20250430/1.6.5.20260602 w pliku application/database.php komponentu Database Management. Manipulacja prowadzi do wykonania z niepotrzebnymi uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-86244Średnie
W systemie FastAdmin (do wersji 1.2.0.20210401_beta) wykryto podatność na cross-site scripting (XSS) w funkcji register/login w pliku application/index/controller/User.php (komponent User Controller). Manipulacja argumentem url prowadzi do XSS. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.2.1.20210731_beta rozwiązuje problem.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in FastAdmin up to 1.7.0.20250506. Affected is the function selectpage of the file application/common/controller/Backend.php of the component Backend Controller. Executing a manipulation of the argument custom/searchField can lead to sql injection. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS