CVE-2020-20363
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
W systemie PbootCMS w wersji 2.0.3 wykryto podatność na atak typu Cross-Site Scripting (XSS) w pliku admin.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do panelu administracyjnego.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji administratora, kradzieży danych lub wykonania nieautoryzowanych działań w panelu administracyjnym poprzez wstrzyknięty skrypt.
Rekomendacja
Należy natychmiast zaktualizować PbootCMS do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność XSS. Dodatkowo warto zastosować filtrowanie danych wejściowych i nagłówki CSP.
Inne podatności w PbootCMS
Zobacz wszystkie- CVE-2026-92383Średnie
Podatność CSRF w PbootCMS do wersji 3.2.24 w funkcjach UserController::del i UserController::mod w komponencie zarządzania użytkownikami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 3.2.25 rozwiązuje problem.
- CVE-2026-67960Krytyczne
Problem w PbootCMS w wersji 3.2.15 pozwala atakującemu na wykonanie dowolnego kodu poprzez komponenty MemberController.php, UserController.php, CommentController.php, ContentController.php oraz helper.php.
- CVE-2023-39834Krytyczne
W PbootCMS w wersjach poniżej 3.2.0 odkryto podatność na wstrzykiwanie poleceń poprzez funkcję create_function.
- CVE-2026-92381Niskie
W PbootCMS do wersji 3.2.22 zidentyfikowano słabość w funkcji decode_string pliku apps/admin/controller/content/ContentController.php w komponencie Template Rendering. Manipulacja argumentem Title powoduje cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony i może być wykorzystany.
- CVE-2026-79387Średnie
Podatność na iniekcję SQL w PbootCMS w wersjach od 3.2.0 do 3.2.5 pozwala uwierzytelnionemu użytkownikowi na modyfikację dowolnych pól kont użytkowników (w tym haseł i ról) poprzez spreparowane parametry do interfejsu User/mod, co umożliwia przejęcie konta.
- CVE-2026-36239Średnie
PbootCMS w wersji 3.2.11 zawiera podatność na wstrzykiwanie kodu w funkcji konfiguracji strony.
Oryginalny opis (angielski, źródło NVD)
Crossi Site Scripting (XSS) vulnerability in PbootCMS 2.0.3 in admin.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS