CVE-2021-40639
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
W Jfinal CMS 5.1.0 wykryto nieprawidłową kontrolę dostępu, która umożliwia atakującym odczyt wrażliwych informacji poprzez bezpośrednie żądanie do pliku /classes/conf/db.properties&config=filemanager.config.js.
Ocena ryzyka
Atakujący może uzyskać dane konfiguracyjne bazy danych, co prowadzi do wycieku poufnych informacji i potencjalnego przejęcia kontroli nad systemem.
Rekomendacja
Należy natychmiast zaktualizować Jfinal CMS do najnowszej wersji oraz skonfigurować odpowiednie reguły dostępu, aby zablokować bezpośrednie żądania do plików konfiguracyjnych.
Inne podatności w Jfinal CMS
Zobacz wszystkie- CVE-2026-11473Średnie
W jfinal_cms do wersji 5.1.0 znaleziono podatność na iniekcję SQL w funkcji list w pliku AdvicefeedbackController.java. Manipulacja argumentem orderBy umożliwia zdalny atak. Projekt został poinformowany, ale nie odpowiedział.
- CVE-2023-34645Wysokie
jfinal CMS w wersji 5.1.0 posiada podatność umożliwiającą odczyt dowolnych plików.
Oryginalny opis (angielski, źródło NVD)
Improper access control in Jfinal CMS 5.1.0 allows attackers to access sensitive information via /classes/conf/db.properties&config=filemanager.config.js.