CVE-2026-36458
KrytyczneStreszczenie
ChestnutCMS w wersji 1.5.10 zawiera podatność na wstrzykiwanie SQL. Parametr content tagu cms_content może być manipulowany w panelu administracyjnym i wstrzykiwany do zapytania SQL podczas renderowania szablonu.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do bazy danych oraz ujawnienia wrażliwych informacji. Organizacje powinny być świadome potencjalnych konsekwencji związanych z bezpieczeństwem danych.
Rekomendacja
Zaleca się aktualizację ChestnutCMS do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji w celu zidentyfikowania innych potencjalnych luk.
Inne podatności w ChestnutCMS v1.5.10
Zobacz wszystkie- CVE-2025-15009Średnie
W liweiyi ChestnutCMS do wersji 1.5.8 wykryto podatność w funkcji FilenameUtils.getExtension w pliku /dev-api/common/upload. Manipulacja argumentem File może prowadzić do nieograniczonego przesyłania plików, a atak można przeprowadzić zdalnie.
- CVE-2025-12923Niskie
W liweiyi ChestnutCMS do wersji 1.5.8, funkcja resourceDownload w pliku /dev-api/common/download jest podatna na path traversal poprzez manipulację argumentem path. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
ChestnutCMS v1.5.10 has a SQL injection vulnerability. The content parameter of the cms_content tag can be manipulated in the admin backend and injected into a SQL query when the template is rendered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS