CVE-2025-65472
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W komponencie /admin/admin.inc.php aplikacji EasyImages 2.0 w wersji 2.8.6 i starszych występuje podatność Cross-Site Request Forgery (CSRF). Umożliwia ona atakującemu eskalację uprawnień do Administratora poprzez interakcję użytkownika ze złośliwą stroną internetową.
Ocena ryzyka
Atakujący może nakłonić zalogowanego administratora do odwiedzenia złośliwej strony i nieświadomego wykonania akcji prowadzących do przejęcia konta administratora. Skutkuje to pełną kontrolą nad aplikacją.
Rekomendacja
Zaktualizuj EasyImages do wersji nowszej niż 2.8.6, która zawiera zabezpieczenia przed CSRF, lub wdróż tokeny anty-CSRF dla krytycznych akcji administracyjnych.
Inne podatności w EasyImages
Zobacz wszystkie- CVE-2025-65474Krytyczne
W komponencie /admin/manager.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym na wykonanie dowolnego kodu poprzez zmianę nazwy pliku PHP na format SVG.
- CVE-2025-65473Krytyczne
W komponencie /admin/filer.php systemu EasyImages 2.0 w wersji 2.8.6 i niższych występuje podatność na dowolną zmianę nazwy pliku, która pozwala atakującym z uprawnieniami administratora na wykonanie dowolnego kodu poprzez wstrzyknięcie spreparowanego ładunku do nazwy przesyłanego pliku.
- CVE-2025-65471Wysokie
W EasyImages w wersji 2.0 v2.8.6 i starszych występuje podatność umożliwiająca przesłanie dowolnego pliku poprzez komponent /admin/manager.php. Atakujący może przesłać spreparowany plik PHP, co prowadzi do wykonania dowolnego kodu.
- CVE-2023-33599Średnie
EasyImages w wersjach do 2.8.1 jest podatny na atak Cross Site Scripting (XSS) poprzez plik viewlog.php.
Oryginalny opis (angielski, źródło NVD)
A Cross-Site Request Forgery (CSRF) in the /admin/admin.inc.php component of EasyImages 2.0 v2.8.6 and below allows attackers to escalate privileges to Administrator via user interaction with a malicious web page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS