CVE-2023-36970
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
W podatności XSS w CMS Made Simple v2.2.17, zdalni atakujący mogą wstrzykiwać dowolne skrypty webowe lub HTML za pomocą funkcji przesyłania plików.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do przeprowadzenia ataków na użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację CMS Made Simple do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie przesyłanych plików.
Inne podatności w CMS Made Simple v2.2.17
Zobacz wszystkie- CVE-2017-8912Wysokie
CMS Made Simple (CMSMS) w wersji 2.1.6 pozwala zdalnie uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez parametr code w pliku admin/editusertag.php, związanym z funkcjami CreateTagFunction i CallUserTag.
- CVE-2016-7904Wysokie
W podatności CVE-2016-7904 w CMS Made Simple przed wersją 2.1.6 występuje luka typu cross-site request forgery (CSRF), która pozwala zdalnym atakującym na przejęcie uwierzytelnienia administratorów podczas tworzenia kont przez żądanie admin/adduser.php.
- CVE-2023-36969Wysokie
CMS Made Simple w wersji 2.2.17 jest podatny na zdalne wykonanie poleceń poprzez funkcję przesyłania plików.
- CVE-2017-17735Krytyczne
CMS Made Simple (CMSMS) w wersjach przed 2.2.5 nieprawidłowo buforuje informacje logowania w ciasteczkach.
- CVE-2017-17734Krytyczne
CMS Made Simple (CMSMS) przed wersją 2.2.5 nieprawidłowo buforuje informacje o logowaniu w sesjach.
- CVE-2017-16783Krytyczne
W CMS Made Simple w wersji 2.1.6 występuje podatność na wstrzykiwanie szablonów po stronie serwera poprzez parametr cntnt01detailtemplate.
- CVE-2017-6070Krytyczne
CMS Made Simple w wersji 1.x przed wersją 0.8.1.6 umożliwia zdalnym atakującym wykonanie kodu PHP poprzez parametr cntnt01fbrp_forma_form_template w admin_store_form.
- CVE-2026-5203Średnie
W CMS Made Simple do wersji 2.2.22 stwierdzono podatność w funkcji _copyFilesToFolder w komponencie UserGuide Module XML Import. Manipulacja prowadzi do path traversal, co umożliwia zdalny atak. Exploit jest publicznie dostępny, a projekt potwierdził, że podatność została już odkryta i naprawiona w kolejnym wydaniu.
Oryginalny opis (angielski, źródło NVD)
A Cross-site scripting (XSS) vulnerability in CMS Made Simple v2.2.17 allows remote attackers to inject arbitrary web script or HTML via the File Upload function.