CVE-2023-34852
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
PublicCMS w wersji do 4.0.202302 jest podatny na niewłaściwe uprawnienia, co może prowadzić do nieautoryzowanego dostępu do zasobów.
Ocena ryzyka
Niewłaściwe uprawnienia mogą umożliwić atakującym dostęp do wrażliwych danych lub funkcji systemu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację PublicCMS do najnowszej wersji, aby usunąć tę podatność oraz przegląd uprawnień w systemie.
Inne podatności w PublicCMS
Zobacz wszystkie- CVE-2025-65836Krytyczne
PublicCMS V5.202506.b jest podatny na SSRF w interfejsie czatu SimpleAiAdminController.
- CVE-2026-110113Średnie
PublicCMS (wersje do V6.202608.a) zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu (IDOR) w metodzie tradeAddress/save kontrolera TradeAddressController, umożliwiającą uwierzytelnionym członkom modyfikację adresów dostawy innych użytkowników. Atakujący mogą przesłać sekwencyjny numeryczny identyfikator adresu innej osoby i nadpisać jej dane odbiorcy, telefon i adres, ponieważ własność nie jest weryfikowana.
- CVE-2026-109160Średnie
W PublicCMS do wersji 5.202608.a wykryto podatność w funkcji SafeConfigComponent.getSafeUrl w pliku publiccms-core/src/main/java/com/publiccms/logic/component/config/SafeConfigComponent.java w komponencie pay Endpoint. Manipulacja argumentem returnUrl może prowadzić do otwartego przekierowania. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent został wcześnie powiadomiony, ale nie odpowiedział.
- CVE-2026-97721Niskie
W systemie Sanluan PublicCMS do wersji 6.202506.e wykryto słabość w funkcji CmsContentAdminController w pliku SysUserAdminController.java, w komponencie exportExcel/exportData. Manipulacja argumentami userId/deptId prowadzi do obejścia autoryzacji, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony i może być wykorzystywany w atakach.
Oryginalny opis (angielski, źródło NVD)
PublicCMS <=V4.0.202302 is vulnerable to Insecure Permissions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS