CVE-2017-2119
WysokieStreszczenie
Podatność typu przejście katalogu w WBCE CMS w wersji 1.1.10 i wcześniejszych umożliwia zdalnym atakującym odczyt dowolnych plików za pomocą nieokreślonych wektorów.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do wrażliwych danych na serwerze, co może prowadzić do dalszych ataków lub wycieku informacji.
Rekomendacja
Zaleca się aktualizację WBCE CMS do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie logów w celu wykrycia potencjalnych prób ataków.
Inne podatności w WBCE CMS
Zobacz wszystkie- CVE-2022-50936Wysokie
WBCE CMS w wersji 1.5.2 zawiera podatność na zdalne wykonanie kodu po uwierzytelnieniu. Uwierzytelniony atakujący może przesłać złośliwe 'droplets' przez panel administracyjny, wykorzystując funkcję przesyłania plików zip, co pozwala na wykonanie dowolnego kodu PHP.
- CVE-2017-2120Wysokie
W podatności CVE-2017-2120 występuje luka typu SQL injection w systemie zarządzania treścią WBCE CMS w wersji 1.1.10 i wcześniejszych. Umożliwia ona atakującemu z uprawnieniami administratora wykonanie dowolnych poleceń SQL za pomocą nieokreślonych wektorów.
- CVE-2025-67504Krytyczne
WBCE CMS to system zarządzania treścią. Wersje 1.6.4 i niższe używają funkcji GenerateRandomPassword() do tworzenia haseł przy użyciu PHP rand(). rand() nie jest kryptograficznie bezpieczny, co pozwala przewidzieć lub brutalnie złamać sekwencje haseł. Może to prowadzić do przejęcia kont użytkowników lub eskalacji uprawnień, jeśli te hasła są używane dla nowych kont lub resetów haseł. Podatność naprawiono w wersji 1.6.5.
Oryginalny opis (angielski, źródło NVD)
Directory traversal vulnerability in WBCE CMS 1.1.10 and earlier allows remote attackers to read arbitrary files via unspecified vectors.