CVE-2025-64049
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W REDAXO CMS 5.20.0 w komponencie zarządzania modułami występuje podatność typu stored XSS. Zdalni użytkownicy mogą wstrzyknąć dowolny skrypt lub HTML poprzez pole Output code w modułach; ładunek jest wykonywany, gdy użytkownik przegląda lub edytuje artykuł, dodając slice korzystający ze zmodyfikowanego modułu.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w przeglądarce użytkowników REDAXO, co może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści. Wpływa to na integralność i poufność systemu CMS.
Rekomendacja
Zaktualizuj REDAXO CMS do wersji zawierającej poprawkę. Ogranicz uprawnienia do edycji modułów do zaufanych użytkowników i wdróż walidację danych wejściowych.
Inne podatności w REDAXO CMS
Zobacz wszystkie- CVE-2016-20053Średnie
Redaxo CMS 5.2 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia nieuwierzytelnionym atakującym tworzenie kont administracyjnych poprzez nakłonienie uwierzytelnionych administratorów do odwiedzenia złośliwych stron. Atakujący mogą przygotować formularze HTML kierujące do punktu końcowego użytkowników z ukrytymi polami zawierającymi dane uwierzytelniające i parametry konta, aby dodać nowe konto administratora bez zgody użytkownika.
- CVE-2025-64050Wysokie
W REDAXO CMS 5.20.0 w komponencie zarządzania szablonami występuje podatność zdalnego wykonania kodu (RCE). Uwierzytelniony administrator może wstrzyknąć kod PHP do aktywnego szablonu, a ładunek wykonuje się, gdy odwiedzający uzyskują dostęp do stron frontendowych korzystających z tego szablonu.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the module management component in REDAXO CMS 5.20.0 allows remote users to inject arbitrary web script or HTML via the Output code field in modules. The payload is executed when a user views or edits an article by adding slice that uses the compromised module.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS