CVE-2020-21228
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
W JIZHICMS 1.5.1 w komponencie /user/release.html występuje podatność na atak XSS, która umożliwia atakującemu dowolne dodanie ciasteczka administratora.
Ocena ryzyka
Atakujący może przejąć sesję administratora, uzyskując pełną kontrolę nad systemem CMS, co prowadzi do kradzieży danych i nieautoryzowanych zmian.
Rekomendacja
Należy natychmiast zaktualizować JIZHICMS do najnowszej wersji oraz zastosować filtrowanie i kodowanie danych wejściowych w komponencie /user/release.html.
Inne podatności w JIZHICMS
Zobacz wszystkie- CVE-2025-25785Krytyczne
W JizhiCMS v2.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie \c\PluginsController.php. Umożliwia ona atakującemu skanowanie sieci wewnętrznej poprzez spreparowane żądanie.
- CVE-2025-25784Krytyczne
W Jizhicms v2.5.4 w komponencie TemplateController.php wykryto podatność na dowolne przesyłanie plików. Atakujący może przesłać spreparowany plik ZIP, co umożliwia zdalne wykonanie kodu na serwerze.
- CVE-2024-32161Krytyczne
JizhiCMS 2.5 zawiera podatność umożliwiającą wgrywanie plików bez odpowiedniej walidacji. Atakujący może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu.
- CVE-2025-70397Wysokie
W systemie jizhicms 2.5.6 wykryto podatność na iniekcję SQL w funkcjach Article/deleteAll oraz Extmolds/deleteAll poprzez parametr data. Atakujący może wstrzyknąć złośliwe zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
Oryginalny opis (angielski, źródło NVD)
JIZHICMS 1.5.1 contains a cross-site scripting (XSS) vulnerability in the component /user/release.html, which allows attackers to arbitrarily add an administrator cookie.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS