CVE-2025-61183

ŚrednieCVSS 6.1

Opublikowano: 08/10/2025(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 05/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 23 - wyżej niż 23% wszystkich znanych CVE

Streszczenie

W vaahcms w wersji 2.3.1 występuje podatność Cross Site Scripting (XSS), która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez metodę upload w metodzie storeAvatar() w pliku UserBase.php. Atakujący może wstrzyknąć złośliwy kod.

Ocena ryzyka

Może prowadzić do przejęcia sesji użytkownika, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary. Wymaga natychmiastowej aktualizacji.

Rekomendacja

Zaktualizuj vaahcms do wersji zawierającej poprawkę. Dodatkowo wdróż walidację i sanityzację danych wejściowych oraz rozważ użycie nagłówków bezpieczeństwa.

Inne podatności w vaahcms

CVE-2026-67595Wysokie
Podatność w VaahCMS w wersjach 2.0.0-2.3.4 polega na osadzeniu złośliwego, zaciemnionego kodu JavaScript w szablonie Blade odpowiedzialnym za renderowanie e-maili OTP. Kod nawiązuje połączenie WebSocket z serwerem C2, instaluje keylogger pól haseł, skanuje DOM WhatsApp Web i akceptuje zdalne polecenia do przekierowania lub nadpisania strony.

Oryginalny opis (angielski, źródło NVD)

Cross Site Scripting in vaahcms v.2.3.1 allows a remote attacker to execute arbitrary code via upload method in the storeAvatar() method of UserBase.php

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS