CVE-2020-18325
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 73 - wyżej niż 73% wszystkich znanych CVE
Streszczenie
W systemie Intelliants Subrion CMS w wersji 4.2.1 wykryto podatność na ataki typu Cross Site Scripting (XSS) w panelu konfiguracji. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony, który może być wykonany w przeglądarce administratora.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych uwierzytelniających lub wykonania nieautoryzowanych działań w panelu administracyjnym, co może prowadzić do pełnej kompromitacji systemu CMS.
Rekomendacja
Należy niezwłocznie zaktualizować Subrion CMS do najnowszej dostępnej wersji, która zawiera poprawki bezpieczeństwa. Jeśli aktualizacja nie jest możliwa, zaleca się ograniczenie dostępu do panelu konfiguracji tylko do zaufanych adresów IP oraz zastosowanie filtrów wejściowych.
Inne podatności w Subrion CMS
Zobacz wszystkie- CVE-2017-15063Wysokie
W Subrion CMS w wersjach 4.1.x do 4.1.5 oraz przed 4.2.0 występują podatności CSRF spowodowane błędem logicznym. Funkcjonalność wykrywania CSRF jest wywoływana zbyt późno w kodzie ia.core.php, co umożliwia atak na parametry zapytania do panelu/bazy danych.
- CVE-2017-6069Wysokie
Subrion CMS w wersji 4.0.5 zawiera podatność CSRF w module admin/blog/add/. Atakujący może dodać dowolny tag oraz opcjonalnie wstrzyknąć XSS za pomocą parametru tagów.
- CVE-2017-6068Wysokie
Subrion CMS w wersji 4.0.5 zawiera podatność CSRF w module admin/blocks/add/, która pozwala atakującemu na tworzenie dowolnych bloków. Dodatkowo, atakujący może opcjonalnie wstrzyknąć XSS za pomocą parametru content.
- CVE-2017-6066Wysokie
Subrion CMS w wersji 4.0.5 zawiera podatność CSRF w module edycji języków. Atakujący może wykonać dowolną akcję edycji języka oraz opcjonalnie wstrzyknąć XSS za pomocą parametru tytułu.
- CVE-2017-6002Wysokie
Subrion CMS w wersji 4.0.5.10 zawiera podatność CSRF w module admin/blog/add/. Atakujący może dodać dowolny wpis na blogu oraz opcjonalnie wstrzyknąć XSS za pomocą parametru body.
- CVE-2017-11445Krytyczne
Subrion CMS w wersjach przed 4.1.6 zawiera podatność na wstrzykiwanie SQL w pliku /front/actions.php poprzez tablicę $_POST.
- CVE-2017-11444Krytyczne
Subrion CMS w wersjach przed 4.1.5.10 ma podatność na wstrzyknięcie SQL w pliku /front/search.php poprzez tablicę $_GET.
- CVE-2017-6013Krytyczne
Subrion CMS w wersji 4.0.5.10 zawiera podatność na atak typu SQL injection w module admin/database poprzez parametr zapytania.
- CVE-2017-5543Krytyczne
W Subrion CMS w wersji 4.0.5 występuje podatność, która umożliwia zdalnym atakującym przeprowadzenie ataków PHP Object Injection poprzez spreparowane dane zserializowane w ciasteczku salt podczas żądania logowania.
- CVE-2026-96773Średnie
W produkcie Intelliants Subrion CMS do wersji 4.2.1 wykryto podatność w funkcji iaUsers::authorize. Manipulacja argumentem $_SERVER['HTTP_REFERER'] powoduje otwarte przekierowanie. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
Multilple Cross Site Scripting (XSS) vulnerability exists in Intelliants Subrion CMS v4.2.1 in the Configuration panel.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS