CVE-2025-60833

ŚrednieCVSS 6.5

Opublikowano: 08/10/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 06/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

W komponencie /mall/wxpay/pay aplikacji uzy-ssm-mall v1.1.0 występuje podatność XML External Entity (XXE). Pozwala ona atakującym na wykonanie dowolnego kodu poprzez dostarczenie spreparowanych danych XML.

Ocena ryzyka

Atakujący może wykorzystać podatność XXE do wykonania dowolnego kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych. Stanowi to poważne zagrożenie dla poufności i integralności aplikacji.

Rekomendacja

Zaktualizuj uzy-ssm-mall do wersji, która naprawia tę podatność, lub wyłącz przetwarzanie zewnętrznych encji XML w konfiguracji parsera. Zastosuj walidację danych wejściowych XML.

Inne podatności w uzy-ssm-mall

CVE-2026-38808Średnie
Podatność SQL Injection w uzy-ssm-mall v1.1.0 pozwala zdalnemu atakującemu na uzyskanie poufnych informacji poprzez komponenty ProductMapper.xml i /OrderUtil.java.

Oryginalny opis (angielski, źródło NVD)

An XML External Entity (XXE) vulnerability in the /mall/wxpay/pay component of uzy-ssm-mall v1.1.0 allows attackers to execute arbitrary code via supplying crafted XML data.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS