CVE-2015-5687
WysokieStreszczenie
W systemie Anchor CMS w wersji 0.9.x występuje podatność, która pozwala zdalnym atakującym na przeprowadzenie ataków typu PHP object injection. Atakujący mogą wykonać dowolny kod PHP poprzez odpowiednio skonstruowany zserializowany obiekt w ciasteczku.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla bezpieczeństwa aplikacji, umożliwiając atakującym zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację Anchor CMS do najnowszej wersji, która eliminuje tę podatność oraz przeglądanie i weryfikację mechanizmów obsługi ciasteczek w aplikacji.
Inne podatności w Anchor CMS 0.9.x
Zobacz wszystkie- CVE-2026-88959Wysokie
Anchor CMS do wersji 0.12.7 włącznie nie egzekwuje kontroli dostępu opartej na rolach w endpointach zarządzania użytkownikami w panelu administracyjnym. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może bezpośrednio wysłać żądanie POST do admin/users/add lub admin/users/edit, aby utworzyć konto administratora lub zmienić hasło istniejącego administratora.
- CVE-2025-46041Średnie
W Anchor CMS v0.12.7 wykryto podatność na trwałe XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript przez pole opisu strony w interfejsie dodawania strony (/admin/pages/add).
Oryginalny opis (angielski, źródło NVD)
system/session/drivers/cookie.php in Anchor CMS 0.9.x allows remote attackers to conduct PHP object injection attacks and execute arbitrary PHP code via a crafted serialized object in a cookie.