CVE-2012-1301
KrytyczneStreszczenie
Skrypt FeedProxy.aspx w Umbraco 4.7.0 umożliwia zdalnym atakującym przekazywanie żądań w ich imieniu za pomocą parametru 'url'.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przeprowadzania ataków typu proxy, co może prowadzić do ujawnienia danych lub innych działań niepożądanych.
Rekomendacja
Zaleca się aktualizację Umbraco do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób wykorzystania.
Inne podatności w Umbraco 4.7.0
Zobacz wszystkie- CVE-2015-8814Wysokie
Umbraco przed wersją 7.4.0 pozwala zdalnym atakującym na obejście zabezpieczeń anty-forgery i przeprowadzenie ataków typu cross-site request forgery (CSRF), co zostało udowodnione poprzez edytowanie informacji o koncie użytkownika w pliku templates.asmx.cs.
- CVE-2026-69197Wysokie
Umbraco przed wersjami 13.15.1, 17.5.3 i 18.0.2 w Content Delivery API stosuje sprawdzenia członkostwa i Public Access tylko do bezpośrednio żądanego węzła, a nie do węzłów referencyjnych serializowanych przez właściwości Content Picker lub Multi-Node Tree Picker, w tym zagnieżdżonych w Block List, Block Grid lub Rich Text Editor. Gdy DeliveryApi:PublicAccess jest włączone, anonimowy wywołujący może uzyskać nazwę, trasę i identyfikator chronionego węzła przez niezabezpieczony węzeł referencyjny i użyć ?expand, aby pobrać pełne wartości właściwości.
- CVE-2025-66625Średnie
Umbraco, system CMS oparty na ASP.NET, w wersjach od 10.0.0 do 13.12.0 niebezpiecznie obsługuje i usuwa pliki tymczasowe podczas przesyłania słowników. Atakujący z dostępem do backoffice może wywołać przewidywalne żądania do ścieżek plików tymczasowych, a odpowiedzi błędów (HTTP 500 gdy plik istnieje, 404 gdy nie) pozwalają na enumerację istnienia dowolnych plików w systemie plików serwera.
Oryginalny opis (angielski, źródło NVD)
The FeedProxy.aspx script in Umbraco 4.7.0 allows remote attackers to proxy requests on their behalf via the "url" parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS