CVE-2025-66492
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Masa CMS (wersje 7.2.8 i starsze, 7.3.1-7.3.13, 7.4.0-alpha.1-7.4.8, 7.5.0-7.5.1) jest podatny na XSS, gdy niesanitizowana wartość parametru ajax w URL jest bezpośrednio umieszczana w sekcji <head> strony HTML. Atakujący może wykonać dowolne skrypty w kontekście sesji użytkownika, co może prowadzić do przejęcia sesji, kradzieży danych, defacementu i dystrybucji złośliwego oprogramowania. Poprawiono w wersjach 7.5.2, 7.4.9, 7.3.14 i 7.2.9.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkownika, kradzież danych, defacement strony oraz dystrybucję złośliwego oprogramowania, co może prowadzić do naruszenia bezpieczeństwa i reputacji organizacji.
Rekomendacja
Zaleca się aktualizację Masa CMS do wersji 7.5.2, 7.4.9, 7.3.14 lub 7.2.9 oraz skonfigurowanie WAF (np. ModSecurity) do blokowania żądań z typowymi znakami XSS w parametrze ajax.
Inne podatności w Masa CMS
Zobacz wszystkie- CVE-2026-40326Wysokie
Masa CMS w wersjach 7.5.2 i wcześniejszych ma lukę w metodzie createBundle w pliku `csettings.cfc`, która nieprawidłowo weryfikuje tokeny anty-CSRF. Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez zalogowanego administratora, cicho tworzy pakiet witryny, który jest zapisywany w publicznie dostępnym katalogu.
- CVE-2026-40325Wysokie
Masa CMS, będący fork'iem Mura CMS, w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji `cTrash.restore`, która nieprawidłowo weryfikuje tokeny anty-CSRF dla żądań przywracania treści. Atakujący może oszukać zalogowanego administratora, aby wysłał fałszywe żądanie przywracające usunięte elementy.
- CVE-2026-40309Wysokie
Masa CMS w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji cTrash.empty, która nie weryfikuje tokenów anty-CSRF dla żądań zarządzania koszem. Atakujący może skłonić zalogowanego administratora do wysłania fałszywego żądania, które opróżnia kosz i trwale usuwa wszystkie usunięte treści.
- CVE-2026-40174Wysokie
Masa CMS, system zarządzania treścią, w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji cUsers.updateAddress, która nieprawidłowo weryfikuje tokeny anty-CSRF. Atakujący może skłonić zalogowanego administratora do przesłania sfałszowanego żądania, co pozwala na dodawanie, modyfikowanie lub usuwanie rekordów adresowych użytkowników.
- CVE-2026-40331Krytyczne
Masa CMS w wersjach 7.2.0-7.2.9, 7.3.0-7.3.14, 7.4.0-7.4.9 i 7.5.0-7.5.2 zawiera podatność na wstrzykiwanie SQL w nieuwierzytelnionym interfejsie JSON API. Parametr altTable jest wstrzykiwany bezpośrednio do klauzuli FROM zapytania SQL, co pozwala nieuwierzytelnionemu atakującemu na odczyt wrażliwych danych z dowolnej tabeli.
- CVE-2026-40330Krytyczne
Masa CMS to system zarządzania treścią open source. W wersjach 7.2.0 do 7.2.9, 7.3.0 do 7.3.14, 7.4.0 do 7.4.9 i 7.5.0 do 7.5.2 istnieje luka SQL injection w komponencie beanFeed.cfc w funkcji getQuery przy obsłudze parametru sortDirection. Wartość parametru jest konkatenowana bezpośrednio do zapytań SQL bez sanityzacji lub parametryzacji. Nieuwierzytelniony zdalny atakujący może to wykorzystać do wyodrębnienia wrażliwych informacji, modyfikacji lub usunięcia rekordów bazy danych, lub potencjalnie do zdalnego wykonania kodu na serwerze bazy danych.
- CVE-2026-40329Krytyczne
Masa CMS to system zarządzania treścią open source. W wersjach 7.5.2 i wcześniejszych istnieje podatność na iniekcję SQL w komponencie beanFeed.cfc w funkcji getQuery podczas przetwarzania parametru sortBy. Aplikacja nie czyści ani nie parametryzuje tego wejścia przed użyciem w dynamicznych zapytaniach SQL. Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia SQL w bazie danych, potencjalnie uzyskując dostęp do wrażliwych danych, modyfikując lub usuwając rekordy, lub eskalując uprawnienia do poziomu administracyjnego. Problem został naprawiony w wersjach 7.2.10, 7.3.15, 7.4.10 i 7.5.3. Obejściem jest skonfigurowanie reguł WAF blokujących złośliwe wzorce SQL w parametrze sortBy wysyłanym do beanFeed.cfc.
- CVE-2024-32641Krytyczne
Masa CMS przed wersjami 7.2.8, 7.3.13 i 7.4.6 jest podatny na zdalne wykonanie kodu. Podatność istnieje w funkcji addParam, która przyjmuje dane od użytkownika przez parametr criteria, a następnie są one przetwarzane przez setDynamicContent, co pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu przez tag m.
- CVE-2024-32643Wysokie
Masa CMS to otwarta platforma Enterprise Content Management. W wersjach przed 7.2.8, 7.3.13 i 7.4.6, jeśli URL strony zostanie zmodyfikowany o deklarację /tag/, CMS wyrenderuje stronę niezależnie od ograniczeń grupowych. Podatność została naprawiona w wersjach 7.2.8, 7.3.13 i 7.4.6.
- CVE-2024-32642Wysokie
Masa CMS to otwarta platforma Enterprise Content Management. W wersjach przed 7.2.8, 7.3.13 i 7.4.6 występuje podatność na zatruwanie nagłówka hosta, co pozwala na przejęcie konta poprzez e-mail resetowania hasła. Podatność została naprawiona w wersjach 7.2.8, 7.3.13 i 7.4.6.
Oryginalny opis (angielski, źródło NVD)
Masa CMS is an open source Enterprise Content Management platform. Versions 7.2.8 and below, 7.3.1 through 7.3.13, 7.4.0-alpha.1 through 7.4.8 and 7.5.0 through 7.5.1 are vulnerable to XSS when an unsanitized value of the ajax URL query parameter is directly included within the <head> section of the HTML page. An attacker can execute arbitrary scripts in the context of the user's session, potentially leading to Session Hijacking, Data Theft, Defacement and Malware Distribution. This issue is fixed in versions 7.5.2, 7.4.9, 7.3.14, and 7.2.9. To work around this issue, configure a Web Application Firewall (WAF) rule (e.g., ModSecurity) to block requests containing common XSS payload characters in the ajax query parameter. Alternatively, implement server-side sanitization using middleware to strip or escape dangerous characters from the ajax parameter before it reaches the vulnerable rendering logic.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS