CVE-2025-15005

NiskieCVSS 3.7

Opublikowano: 22/12/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W CouchCMS do wersji 2.4 odkryto lukę w pliku couch/config.example.php komponentu reCAPTCHA Handler. Manipulacja argumentami K_RECAPTCHA_SITE_KEY/K_RECAPTCHA_SECRET_KEY prowadzi do użycia zakodowanego na stałe klucza kryptograficznego. Atak można przeprowadzić zdalnie, charakteryzuje się on wysoką złożonością, a exploit został publicznie udostępniony.

Ocena ryzyka

Atakujący może wykorzystać ujawniony klucz do obejścia mechanizmów reCAPTCHA lub innych zabezpieczeń, co może prowadzić do nieautoryzowanego dostępu.

Rekomendacja

Zaktualizuj CouchCMS do wersji zawierającej poprawkę lub zmień domyślne klucze reCAPTCHA na unikalne i bezpieczne wartości.

Inne podatności w CouchCMS

CVE-2026-29002Wysokie
CouchCMS zawiera podatność na eskalację uprawnień, która umożliwia uwierzytelnionym użytkownikom na poziomie Admina tworzenie kont SuperAdmin poprzez manipulację parametrem f_k_levels_list w żądaniach tworzenia użytkownika. Atakujący mogą zmienić wartość parametru z 4 na 10 w treści żądania HTTP, aby ominąć walidację autoryzacji i uzyskać pełną kontrolę nad aplikacją.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in CouchCMS up to 2.4. Affected is an unknown function of the file couch/config.example.php of the component reCAPTCHA Handler. The manipulation of the argument K_RECAPTCHA_SITE_KEY/K_RECAPTCHA_SECRET_KEY results in use of hard-coded cryptographic key . It is possible to launch the attack remotely. This attack is characterized by high complexity. The exploitability is told to be difficult. The exploit has been released to the public and may be used for attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS