CVE-2025-52239
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Podatność umożliwiająca dowolne przesyłanie plików w ZKEACMS v4.1 pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowany plik.
Ocena ryzyka
Atakujący może przesłać złośliwy plik, co prowadzi do zdalnego wykonania kodu na serwerze, potencjalnie przejmując kontrolę nad systemem.
Rekomendacja
Zaleca się natychmiastową aktualizację ZKEACMS do najnowszej wersji oraz wdrożenie walidacji typów plików i ograniczeń rozmiaru.
Inne podatności w ZKEACMS
Zobacz wszystkie- CVE-2026-111633Wysokie
ZKEACMS do wersji 4.4 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym fałszować tokeny bearer JWT REST API przy użyciu zaszytego klucza podpisywania HMAC-SHA256 w JwtBearerDefaults.cs. Atakujący mogą podpisać token z roszczeniem Name ustawionym na 'admin', aby wywoływać endpointy ApiAuthorize, modyfikując artykuły i produkty oraz czytając przesłane formularze.
- CVE-2025-10471Średnie
W ZKEACMS 4.3 wykryto podatność w funkcji Proxy w pliku MediaController.cs. Manipulacja argumentem url prowadzi do podatności SSRF (Server-Side Request Forgery). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in ZKEACMS v4.1 allows attackers to execute arbitrary code via a crafted file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS