CVE-2025-67173
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W RiteCMS v3.1.0 funkcja tworzenia i edycji stron jest podatna na Cross-Site Request Forgery (CSRF). Atakujący może dowolnie tworzyć strony poprzez spreparowane żądanie POST.
Ocena ryzyka
Uwierzytelniony użytkownik może nieświadomie utworzyć niechciane strony w swoim imieniu, co może prowadzić do modyfikacji treści serwisu lub publikacji złośliwych materiałów.
Rekomendacja
Zaktualizuj RiteCMS do wersji z poprawką lub wdróż tokeny anty-CSRF dla operacji tworzenia i edycji stron. Dodatkowo rozważ wymuszanie nagłówka SameSite dla ciasteczek sesyjnych.
Inne podatności w RiteCMS
Zobacz wszystkie- CVE-2025-67174Wysokie
RiteCMS w wersji 3.1.0 zawiera podatność lokalnego włączenia pliku (LFI) w komponencie admin.php, w parametrach admin_language_file i default_page_language_file. Atakujący może wykorzystać przejście katalogowe do odczytu dowolnych plików na hoście.
- CVE-2025-67171Wysokie
W RiteCMS v3.1.0 występuje nieprawidłowa kontrola dostępu w komponencie /templates/, co pozwala atakującym na dostęp do wrażliwych plików poprzez directory traversal. Podatność umożliwia odczyt plików spoza dozwolonego katalogu.
- CVE-2025-67168Średnie
RiteCMS v3.1.0 używa niebezpiecznego szyfrowania do przechowywania haseł.
- CVE-2025-67172Wysokie
RiteCMS v3.1.0 zawiera podatność na zdalne wykonanie kodu (RCE) po uwierzytelnieniu, wykorzystywaną przez funkcję parse_special_tags().
Oryginalny opis (angielski, źródło NVD)
A Cross-Site Request Forgery (CSRF) in the page creation/editing function of RiteCMS v3.1.0 allows attackers to arbitrarily create pages via a crafted POST request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS