CVE-2025-67290
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W Piranha CMS v12.1 w module Page Settings wykryto podatność na trwały cross-site scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Excerpt, co prowadzi do wykonania skryptów w przeglądarce ofiary.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji użytkowników, przejęcie kont administratora oraz defacement strony. Atak może być wykorzystany do rozprzestrzeniania złośliwego oprogramowania w organizacji.
Rekomendacja
Należy natychmiast zaktualizować Piranha CMS do najnowszej wersji oraz zastosować filtrowanie wejściowe i kodowanie wyjściowe dla pola Excerpt. Dodatkowo wdrożyć Content Security Policy (CSP).
Inne podatności w Piranha CMS
Zobacz wszystkie- CVE-2026-111665Średnie
Piranha CMS do wersji 12.2 zawiera podatność braku autoryzacji w Piranha.Manager LanguageApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi menedżera wyświetlać, tworzyć, edytować i usuwać języki witryny bez szczegółowych uprawnień Language, LanguageAdd, LanguageEdit lub LanguageDelete. Atakujący może bezpośrednio wywoływać akcje Get, Save i Delete w manager/api/language, aby usuwać języki i przypisywać witryny do domyślnego, wpływając na zlokalizowaną treść w całej instancji.
- CVE-2025-67291Średnie
W module Media systemu Piranha CMS w wersji 12.1 wykryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the Page Settings module of Piranha CMS v12.1 allows attackers to execute arbitrary web scripts or HTML via injecting a crafted payload into the Excerpt field.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS