CVE-2025-15148
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Znaleziono błąd w CmsEasy do wersji 7.7.7. Dotyczy on funkcji savetemp_action w bibliotece /lib/admin/template_admin.php w komponencie Backend Template Management Page. Wykonanie manipulacji argumentem content/tempdata może prowadzić do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent został poinformowany wcześnie, ale nie odpowiedział.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania dowolnego kodu w kontekście aplikacji, co może prowadzić do pełnej kompromitacji systemu i naruszenia danych.
Rekomendacja
Zaleca się natychmiastową aktualizację CmsEasy do wersji nowszej niż 7.7.7 oraz ograniczenie dostępu do panelu administracyjnego.
Inne podatności w CmsEasy
Zobacz wszystkie- CVE-2025-11332Niskie
W CmsEasy do wersji 7.7.7 wykryto podatność cross-site scripting (XSS) w bibliotece lib/inc/view.php, w komponencie URL Handler. Manipulacja argumentem PHP_SELF może prowadzić do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
- CVE-2024-32162Średnie
W systemie CMSeasy w wersji 7.7.7.9 wykryto podatność umożliwiającą dowolne usuwanie plików. Atakujący może wykorzystać tę lukę do usunięcia krytycznych plików systemowych.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in CmsEasy up to 7.7.7. Affected is the function savetemp_action in the library /lib/admin/template_admin.php of the component Backend Template Management Page. Executing a manipulation of the argument content/tempdata can lead to code injection. The attack may be launched remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS