CVE-2026-54415
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w trasach zarządzania serwerem w Azuriom CMS przed wersją 1.2.11 pozwala uwierzytelnionemu atakującemu z uprawnieniami admin.access na tworzenie tokenów serwera AzLink oraz przejmowanie kont użytkowników niebędących administratorami poprzez zmianę ich haseł i adresów e-mail.
Ocena ryzyka
Atakujący może uzyskać pełną kontrolę nad kontami użytkowników, co prowadzi do poważnych naruszeń bezpieczeństwa i utraty danych w organizacji.
Rekomendacja
Zaleca się aktualizację Azuriom CMS do wersji 1.2.11 lub nowszej, aby usunąć tę podatność oraz przegląd uprawnień użytkowników w systemie.
Inne podatności w Azuriom CMS
Zobacz wszystkie- CVE-2026-19975Niskie
W Azuriom CMS do wersji 1.2.12 wykryto słabość w funkcji transferMoney pliku app/Http/Controllers/ProfileController.php komponentu Money Transfer Handler. Manipulacja prowadzi do błędu typu time-of-check time-of-use. Atak może być inicjowany zdalnie, ale wymaga wysokiej złożoności.
- CVE-2025-65271Wysokie
Podatność typu client-side template injection (CSTI) w panelu administracyjnym Azuriom CMS pozwala użytkownikowi o niskich uprawnieniach na wykonanie dowolnego kodu szablonu w kontekście sesji administratora. Może to nastąpić poprzez wtyczki lub komponenty panelu renderujące niezaufane dane wejściowe, co potencjalnie umożliwia eskalację uprawnień do konta administracyjnego. Naprawiono w Azuriom 1.2.7.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization in the server management routes (routes/admin.php) in Azuriom Azuriom CMS before 1.2.11 on all platforms allows an authenticated attacker with the admin.access permission to create AzLink server tokens and take over non-admin user accounts by changing their passwords and email addresses via crafted HTTP requests to /admin/servers/create and the AzLink API endpoints (/api/azlink/password, /api/azlink/email, /api/azlink/user/{id}).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS