CVE-2019-25674

WysokieCVSS 8.2

Opublikowano: 05/04/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

CMSsite 1.0 zawiera podatność na wstrzykiwanie SQL w parametrze 'post', umożliwiającą nieuwierzytelnionym atakującym manipulowanie zapytaniami do bazy danych. Atak może być przeprowadzony zdalnie przez żądania GET do post.php, prowadząc do wycieku danych lub ataków typu time-based blind SQL injection.

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą wykraść wrażliwe dane z bazy danych lub przeprowadzić ataki typu blind SQL, co może prowadzić do całkowitej kompromitacji systemu.

Rekomendacja

Należy natychmiast zaktualizować CMSsite do najnowszej wersji lub zastosować poprawkę filtrującą dane wejściowe w parametrze 'post'. W międzyczasie ogranicz dostęp do post.php.

Inne podatności w CMSsite

CVE-2019-25682Średnie
CMSsite 1.0 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF), która pozwala atakującym na wykonywanie nieautoryzowanych działań administracyjnych poprzez tworzenie złośliwych formularzy HTML. Atakujący mogą nakłonić uwierzytelnionych administratorów do odwiedzenia spreparowanych stron, które wysyłają żądania POST do punktu końcowego users.php z parametrami takimi jak source=add_user, source=edit_user lub del=1, aby tworzyć, modyfikować lub usuwać konta administratorów.

Oryginalny opis (angielski, źródło NVD)

CMSsite 1.0 contains an SQL injection vulnerability that allows unauthenticated attackers to manipulate database queries by injecting SQL code through the 'post' parameter. Attackers can send GET requests to post.php with malicious 'post' values to extract sensitive database information or perform time-based blind SQL injection attacks.