CVE-2015-8814
WysokieStreszczenie
Umbraco przed wersją 7.4.0 pozwala zdalnym atakującym na obejście zabezpieczeń anty-forgery i przeprowadzenie ataków typu cross-site request forgery (CSRF), co zostało udowodnione poprzez edytowanie informacji o koncie użytkownika w pliku templates.asmx.cs.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do nieautoryzowanej modyfikacji danych użytkowników, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty zaufania do systemu.
Rekomendacja
Zaleca się aktualizację Umbraco do wersji 7.4.0 lub nowszej, aby zabezpieczyć się przed tymi atakami.
Inne podatności w Umbraco
Zobacz wszystkie- CVE-2012-1301Krytyczne
Skrypt FeedProxy.aspx w Umbraco 4.7.0 umożliwia zdalnym atakującym przekazywanie żądań w ich imieniu za pomocą parametru 'url'.
- CVE-2026-69197Wysokie
Umbraco przed wersjami 13.15.1, 17.5.3 i 18.0.2 w Content Delivery API stosuje sprawdzenia członkostwa i Public Access tylko do bezpośrednio żądanego węzła, a nie do węzłów referencyjnych serializowanych przez właściwości Content Picker lub Multi-Node Tree Picker, w tym zagnieżdżonych w Block List, Block Grid lub Rich Text Editor. Gdy DeliveryApi:PublicAccess jest włączone, anonimowy wywołujący może uzyskać nazwę, trasę i identyfikator chronionego węzła przez niezabezpieczony węzeł referencyjny i użyć ?expand, aby pobrać pełne wartości właściwości.
- CVE-2025-66625Średnie
Umbraco, system CMS oparty na ASP.NET, w wersjach od 10.0.0 do 13.12.0 niebezpiecznie obsługuje i usuwa pliki tymczasowe podczas przesyłania słowników. Atakujący z dostępem do backoffice może wywołać przewidywalne żądania do ścieżek plików tymczasowych, a odpowiedzi błędów (HTTP 500 gdy plik istnieje, 404 gdy nie) pozwalają na enumerację istnienia dowolnych plików w systemie plików serwera.
Oryginalny opis (angielski, źródło NVD)
Umbraco before 7.4.0 allows remote attackers to bypass anti-forgery security measures and conduct cross-site request forgery (CSRF) attacks as demonstrated by editing user account information in the templates.asmx.cs file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS