CVE-2021-47776
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W systemie Umbraco CMS w wersji 8.14.1 wykryto podatność na atak typu Server-Side Request Forgery (SSRF). Atakujący może manipulować parametrami baseUrl w wielu punktach końcowych dashboardu i pomocy, takich jak GetContextHelpForPage, GetRemoteDashboardContent i GetRemoteDashboardCss, co umożliwia nieautoryzowane żądania do zewnętrznych hostów.
Ocena ryzyka
Atakujący może wykorzystać serwer do wysyłania żądań do wewnętrznych lub zewnętrznych zasobów, co może prowadzić do ujawnienia wrażliwych informacji lub ataków na inne systemy.
Rekomendacja
Należy zaktualizować Umbraco CMS do najnowszej wersji oraz ograniczyć dostęp do wspomnianych punktów końcowych.
Inne podatności w Umbraco CMS
Zobacz wszystkie- CVE-2025-67288Krytyczne
Podatność w Umbraco CMS v16.3.3 umożliwia atakującemu przesłanie spreparowanego pliku PDF, co może prowadzić do wykonania dowolnego kodu. Producent kwestionuje to, wskazując, że walidacja plików leży po stronie administratora systemu, a kod JavaScript w PDF działa w izolowanym sandboxie.
- CVE-2026-46616Średnie
Umbraco to system zarządzania treścią oparty na ASP.NET. W wersjach przed 13.14.0 i 17.4.0 niektóre kontrolery Surface w CMS nie walidują URL-i przekierowań, co naraża szablony Razor, które korzystają z parametrów zapytania kontrolowanych przez użytkownika, na ataki związane z złośliwym przekierowaniem.
- CVE-2024-55488Średnie
W systemie Umbraco CMS w wersji 14.3.1 wykryto podatność na trwały atak XSS, umożliwiającą atakującemu wykonanie dowolnego skryptu lub kodu HTML poprzez spreparowany ładunek. Należy jednak zaznaczyć, że producent kwestionuje to zgłoszenie, argumentując, że atak jest możliwy tylko dla uwierzytelnionych użytkowników z ręcznie przyznanym dostępem do CMS, a decyzja o braku sanitacji HTML była celowa.
- CVE-2023-37267Wysokie
Umbraco, system zarządzania treścią oparty na ASP.NET, może w rzadkich warunkach po restarcie umożliwić nieautoryzowanym użytkownikom dostęp do uprawnień na poziomie administratora. Podatność została załatana w wersjach 10.6.1, 11.4.2 oraz 12.0.1.
Oryginalny opis (angielski, źródło NVD)
Umbraco CMS v8.14.1 contains a server-side request forgery vulnerability that allows attackers to manipulate baseUrl parameters in multiple dashboard and help controller endpoints. Attackers can craft malicious requests to the GetContextHelpForPage, GetRemoteDashboardContent, and GetRemoteDashboardCss endpoints to trigger unauthorized server-side requests to external hosts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS