CVE-2022-40488
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W systemie ProcessWire w wersji 3.0.200 wykryto podatność na fałszerstwo żądań międzywitrynowych (CSRF). Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych działań w kontekście uwierzytelnionego użytkownika.
Ocena ryzyka
Ryzyko polega na możliwości wykonania przez atakującego niepożądanych operacji administracyjnych bez wiedzy ofiary, co może prowadzić do naruszenia integralności danych lub konfiguracji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację ProcessWire do najnowszej dostępnej wersji oraz wdrożenie mechanizmów ochrony CSRF, takich jak tokeny anty-CSRF.
Inne podatności w ProcessWire
Zobacz wszystkie- CVE-2026-40500Niskie ryzyko· EPSS 31%
Identyfikator CVE-2026-40500 został odrzucony przez organ nadający numery CVE. Zgłoszona podatność SSRF w funkcji 'Dodaj moduł z URL' nie stanowi realnego zagrożenia, ponieważ wymaga uprawnień superużytkownika (root-equivalent w ProcessWire), który już ma możliwość dowolnego wykonania kodu przez standardowe przesyłanie modułów. Funkcja jest domyślnie wyłączona i wymaga bezpośredniego dostępu do systemu plików, aby ją włączyć.
- CVE-2024-41597Średnie
W systemie ProcessWire w wersji 3.0.229 wykryto podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia zdalnemu atakującemu dodanie komentarza. Producent kwestionuje to zgłoszenie, argumentując, że system celowo akceptuje anonimowe, nieuwierzytelnione komentarze, a domyślnie dodane komentarze są zatrzymywane do moderacji.
- CVE-2022-40487Średnie
W ProcessWire v3.0.200 odkryto wiele podatności na ataki XSS w funkcjach wyszukiwania użytkowników i stron. Luki umożliwiają atakującemu wstrzyknięcie złośliwego kodu JavaScript lub HTML.
Oryginalny opis (angielski, źródło NVD)
ProcessWire v3.0.200 was discovered to contain a Cross-Site Request Forgery (CSRF).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS