CVE-2025-65961

NiskieCVSS 3.3

Opublikowano: 25/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Contao to otwarty CMS. W wersjach od 4.0.0 do przed 4.13.57, przed 5.3.42 i przed 5.6.5 możliwe jest wstrzyknięcie kodu do szablonu, który zostanie wykonany w przeglądarce w interfejsie front-end i back-end. Luka została naprawiona w wersjach 4.13.57, 5.3.42 i 5.6.5.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod wykonywany w przeglądarce użytkowników (XSS), co może prowadzić do kradzieży sesji lub danych.

Rekomendacja

Zaktualizuj Contao do wersji 4.13.57, 5.3.42 lub 5.6.5 (lub nowszych). Jeśli aktualizacja nie jest możliwa, nie używaj podatnych szablonów lub popraw je ręcznie.

Inne podatności w Contao CMS

CVE-2023-36806Średnie
Contao to system zarządzania treścią typu open source. W wersjach od 4.0.0 do 4.9.42, 4.13.28 i 5.1.10 istnieje możliwość wstrzyknięcia złośliwego kodu przez nieufnych użytkowników backendu do pól nagłówków, co skutkuje jego wykonaniem zarówno w podglądzie elementu, jak i na stronie internetowej.

Oryginalny opis (angielski, źródło NVD)

Contao is an Open Source CMS. From version 4.0.0 to before 4.13.57, before 5.3.42, and before 5.6.5, it is possible to inject code into the template output that will be executed in the browser in the front end and back end. This issue has been patched in versions 4.13.57, 5.3.42, and 5.6.5. A workaround for this issue involves not using the affected templates or patch them manually.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS