CVE-2017-6068
WysokieStreszczenie
Subrion CMS w wersji 4.0.5 zawiera podatność CSRF w module admin/blocks/add/, która pozwala atakującemu na tworzenie dowolnych bloków. Dodatkowo, atakujący może opcjonalnie wstrzyknąć XSS za pomocą parametru content.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego tworzenia treści oraz potencjalnego wstrzykiwania złośliwego kodu, co zagraża bezpieczeństwu aplikacji i danych użytkowników.
Rekomendacja
Zaleca się aktualizację Subrion CMS do najnowszej wersji oraz wdrożenie mechanizmów ochrony przed CSRF i XSS.
Inne podatności w Subrion CMS 4.0.5
Zobacz wszystkie- CVE-2017-15063Wysokie
W Subrion CMS w wersjach 4.1.x do 4.1.5 oraz przed 4.2.0 występują podatności CSRF spowodowane błędem logicznym. Funkcjonalność wykrywania CSRF jest wywoływana zbyt późno w kodzie ia.core.php, co umożliwia atak na parametry zapytania do panelu/bazy danych.
- CVE-2017-6069Wysokie
Subrion CMS w wersji 4.0.5 zawiera podatność CSRF w module admin/blog/add/. Atakujący może dodać dowolny tag oraz opcjonalnie wstrzyknąć XSS za pomocą parametru tagów.
- CVE-2017-6066Wysokie
Subrion CMS w wersji 4.0.5 zawiera podatność CSRF w module edycji języków. Atakujący może wykonać dowolną akcję edycji języka oraz opcjonalnie wstrzyknąć XSS za pomocą parametru tytułu.
- CVE-2017-6002Wysokie
Subrion CMS w wersji 4.0.5.10 zawiera podatność CSRF w module admin/blog/add/. Atakujący może dodać dowolny wpis na blogu oraz opcjonalnie wstrzyknąć XSS za pomocą parametru body.
- CVE-2017-11445Krytyczne
Subrion CMS w wersjach przed 4.1.6 zawiera podatność na wstrzykiwanie SQL w pliku /front/actions.php poprzez tablicę $_POST.
- CVE-2017-11444Krytyczne
Subrion CMS w wersjach przed 4.1.5.10 ma podatność na wstrzyknięcie SQL w pliku /front/search.php poprzez tablicę $_GET.
- CVE-2017-6013Krytyczne
Subrion CMS w wersji 4.0.5.10 zawiera podatność na atak typu SQL injection w module admin/database poprzez parametr zapytania.
- CVE-2017-5543Krytyczne
W Subrion CMS w wersji 4.0.5 występuje podatność, która umożliwia zdalnym atakującym przeprowadzenie ataków PHP Object Injection poprzez spreparowane dane zserializowane w ciasteczku salt podczas żądania logowania.
- CVE-2026-96773Średnie
W produkcie Intelliants Subrion CMS do wersji 4.2.1 wykryto podatność w funkcji iaUsers::authorize. Manipulacja argumentem $_SERVER['HTTP_REFERER'] powoduje otwarte przekierowanie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-96772Średnie
W produkcie Intelliants Subrion CMS do wersji 4.2.1 wykryto podatność w pliku /actions.json?action=assign-owner. Manipulacja argumentem q prowadzi do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
Subrion CMS 4.0.5 has CSRF in admin/blocks/add/. The attacker can create any block, and can optionally insert XSS via the content parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS