CVE-2025-57567
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W systemie PluXml CMS w edytorze motywów wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy pliku minify.php w domyślnym katalogu motywu, który może zostać nadpisany przez uwierzytelnionego administratora dowolnym kodem PHP.
Ocena ryzyka
Atakujący z uprawnieniami administratora może przejąć kontrolę nad serwerem, wykonując dowolne polecenia systemowe, co prowadzi do pełnej kompromitacji systemu i danych.
Rekomendacja
Należy natychmiast zaktualizować system PluXml CMS do najnowszej wersji oraz ograniczyć uprawnienia administratora tylko do zaufanych użytkowników. Dodatkowo warto zabezpieczyć plik minify.php przed zapisem.
Inne podatności w PluXml CMS
Zobacz wszystkie- CVE-2026-24352Krytyczne
PluXml CMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem, co umożliwia atakującemu przejęcie sesji po uwierzytelnieniu. Identyfikator sesji pozostaje niezmienny po uwierzytelnieniu, co stwarza ryzyko przejęcia sesji przez osobę trzecią.
- CVE-2025-67436Średnie
W PluXml CMS 5.8.22 uwierzytelniony atakujący z dostępem do panelu administratora może przeprowadzić zdalne wykonanie kodu (RCE), wstrzykując złośliwy webshell PHP do pliku motywu, np. home.php.
Oryginalny opis (angielski, źródło NVD)
A remote code execution (RCE) vulnerability exists in the PluXml CMS theme editor, specifically in the minify.php file located under the default theme directory (/themes/defaut/css/minify.php). An authenticated administrator user can overwrite this file with arbitrary PHP code via the admin panel, enabling execution of system commands.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS