CVE-2025-60319
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
PerfreeBlog v4.0.11 jest podatny na Server-Side Request Forgery z powodu braku sprawdzenia autoryzacji w punkcie końcowym API uploadAttachByUrl (AttachController.java).
Ocena ryzyka
Atakujący może wymusić na serwerze wykonanie żądań do dowolnych zasobów wewnętrznych lub zewnętrznych, co może prowadzić do ujawnienia informacji lub ataków na inne systemy.
Rekomendacja
Zaktualizuj PerfreeBlog do wersji zawierającej poprawkę lub wdróż dodatkowe kontrole autoryzacji dla punktu końcowego uploadAttachByUrl.
Inne podatności w PerfreeBlog
Zobacz wszystkie- CVE-2025-60735Wysokie
W PerfreeBlog w wersji 4.0.11 wykryto podatność na nieograniczone przesyłanie plików w funkcji installPlugin. Umożliwia to atakującemu wgranie złośliwego pliku na serwer.
- CVE-2025-60731Wysokie
W PerfreeBlog w wersji 4.0.11 wykryto podatność na niebezpieczne przesyłanie plików w funkcji installTheme. Luka ta umożliwia atakującemu wgranie złośliwego pliku na serwer.
- CVE-2025-60730Wysokie
W PerfreeBlog w wersji 4.0.11 wykryto podatność na dowolne usuwanie plików w funkcji unInstallTheme. Atakujący może wykorzystać tę lukę do usunięcia dowolnych plików na serwerze.
- CVE-2025-60729Średnie
W PerfreeBlog w wersji 4.0.11 wykryto podatność na dowolny odczyt plików w funkcji validThemeFilePath. Umożliwia ona atakującemu odczytanie dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
PerfreeBlog v4.0.11 is vulnerable to Server-Side Request Forgery due to a missing authorization check in the uploadAttachByUrl API endpoint (AttachController.java).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS