CVE-2025-15144
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto lukę w funkcji dr_show_error/dr_exit_msg w pliku /dayrui/Fcms/Init.php w komponencie JSONP Callback Handler. Manipulacja argumentem callback prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykorzystać publicznie dostępny exploit do przeprowadzenia ataku XSS, co może prowadzić do kradzieży sesji lub wykonania działań w przeglądarce ofiary.
Rekomendacja
Ze względu na brak reakcji producenta rozważ wyłączenie lub zastąpienie podatnego komponentu oraz wdrożenie walidacji i kodowania parametru callback.
Inne podatności w dayrui XunRuiCMS
Zobacz wszystkie- CVE-2026-120348Wysokie
W dayrui XunRuiCMS do wersji 4.7.4 wykryto podatność w funkcji _get_tpl_content pliku dayrui/Fcms/Library/Notice.php, w komponencie renderowania szablonów e-mail. Manipulacja prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
- CVE-2026-120347Wysokie
W dayrui XunRuiCMS do wersji 4.7.4 wykryto podatność w funkcji View pliku dayrui/Fcms/Core/View.php, w komponencie modułu członków. Manipulacja argumentem catid prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostępna jest poprawka 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in dayrui XunRuiCMS up to 4.7.1. The impacted element is the function dr_show_error/dr_exit_msg of the file /dayrui/Fcms/Init.php of the component JSONP Callback Handler. This manipulation of the argument callback causes cross site scripting. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS