CVE-2026-120349
WysokieCVSS 7.3Streszczenie
W systemie XunRuiCMS (dayrui) do wersji 4.7.4 wykryto lukę w funkcji str_replace w pliku /var/www/html/zzmob/index.php w komponencie Mobile Site Directory. Manipulacja argumentem dirname prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie.
Ocena ryzyka
Publicznie dostępny exploit umożliwia zdalne wstrzyknięcie kodu, co może prowadzić do przejęcia kontroli nad aplikacją lub serwerem.
Rekomendacja
Ogranicz dostęp do komponentu Mobile Site Directory i wdróż poprawki lub środki zaradcze; rozważ aktualizację do wersji nowszej niż 4.7.4, gdy będzie dostępna.
Inne podatności w XunRuiCMS
Zobacz wszystkie- CVE-2026-101018Średnie
Podatność w XunruiCMS do wersji 4.7.2 dotyczy funkcji group_all_edit w pliku dayrui/App/Member/Controllers/Admin/Home.php komponentu Group Editing. Manipulacja argumentem groupid powoduje SQL injection. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-14007Niskie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej części pliku /admin79f2ec220c7e.php?c=api&m=demo&name=mobile w komponencie Domain Name Binding Page. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie i wymaga wysokiej złożoności.
- CVE-2025-14006Niskie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej funkcjonalności pliku /admind45f74adbd95.php?c=field&m=add&rname=site&rid=1&page=1 w komponencie Add Data Validation Page. Manipulacja argumentem data[name] prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in dayrui XunRuiCMS up to 4.7.4. Affected by this issue is the function str_replace of the file /var/www/html/zzmob/index.php of the component Mobile Site Directory. The manipulation of the argument dirname results in code injection. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS