CVE-2026-116274
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W JIZHICMS do wersji 2.5.6 wykryto lukę w funkcji Pay w pliku app/home/c/OrderController.php komponentu Front-end Order Handler. Manipulacja argumentem orderno prowadzi do niewłaściwej autoryzacji, a atak można zainicjować zdalnie; exploit został publicznie ujawniony.
Ocena ryzyka
Może to umożliwić nieuprawnione operacje na zamówieniach, np. dostęp do cudzych zamówień lub ich modyfikację. Ryzyko dotyczy instalacji JIZHICMS w wersji do 2.5.6.
Rekomendacja
Wdróż dodatkową weryfikację autoryzacji dla operacji na zamówieniach i ogranicz dostęp do funkcji Pay. Monitoruj dostawcę w celu uzyskania poprawki, ponieważ nie odpowiedział na zgłoszenie.
Inne podatności w JIZHICMS
Zobacz wszystkie- CVE-2025-25785Krytyczne
W JizhiCMS v2.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie \c\PluginsController.php. Umożliwia ona atakującemu skanowanie sieci wewnętrznej poprzez spreparowane żądanie.
- CVE-2025-25784Krytyczne
W Jizhicms v2.5.4 w komponencie TemplateController.php wykryto podatność na dowolne przesyłanie plików. Atakujący może przesłać spreparowany plik ZIP, co umożliwia zdalne wykonanie kodu na serwerze.
- CVE-2024-32161Krytyczne
JizhiCMS 2.5 zawiera podatność umożliwiającą wgrywanie plików bez odpowiedniej walidacji. Atakujący może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu.
- CVE-2025-70397Wysokie
W systemie jizhicms 2.5.6 wykryto podatność na iniekcję SQL w funkcjach Article/deleteAll oraz Extmolds/deleteAll poprzez parametr data. Atakujący może wstrzyknąć złośliwe zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
- CVE-2025-14013Niskie
W JIZHICMS do wersji 2.5.5 zidentyfikowano podatność w nieznanej funkcji pliku /index.php/admins/Comment/addcomment.html w komponencie Comment Handler. Manipulacja argumentem body prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca został powiadomiony, ale nie odpowiedział.
- CVE-2025-14012Średnie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcjach deleteAll/findAll/delete w pliku /index.php/admins/Comment/deleteAll.html w komponencie Batch Delete Comments. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-14011Średnie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcji commentlist w pliku /index.php/admins/Comment/addcomment.html w komponencie Add Display Name Field. Manipulacja argumentami aid/tid prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2020-21228Średnie
W JIZHICMS 1.5.1 w komponencie /user/release.html występuje podatność na atak XSS, która umożliwia atakującemu dowolne dodanie ciasteczka administratora.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in JIZHICMS up to 2.5.6. This affects the function Pay of the file app/home/c/OrderController.php of the component Front-end Order Handler. Such manipulation of the argument orderno leads to improper authorization. The attack can be launched remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS