CVE-2023-37267
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Umbraco, system zarządzania treścią oparty na ASP.NET, może w rzadkich warunkach po restarcie umożliwić nieautoryzowanym użytkownikom dostęp do uprawnień na poziomie administratora. Podatność została załatana w wersjach 10.6.1, 11.4.2 oraz 12.0.1.
Ocena ryzyka
Dostęp do uprawnień administratora przez nieautoryzowanych użytkowników może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych w organizacji.
Rekomendacja
Zaleca się aktualizację Umbraco do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie dostępu do systemu.
Inne podatności w Umbraco CMS
Zobacz wszystkie- CVE-2025-67288Krytyczne
Podatność w Umbraco CMS v16.3.3 umożliwia atakującemu przesłanie spreparowanego pliku PDF, co może prowadzić do wykonania dowolnego kodu. Producent kwestionuje to, wskazując, że walidacja plików leży po stronie administratora systemu, a kod JavaScript w PDF działa w izolowanym sandboxie.
- CVE-2026-46616Średnie
Umbraco to system zarządzania treścią oparty na ASP.NET. W wersjach przed 13.14.0 i 17.4.0 niektóre kontrolery Surface w CMS nie walidują URL-i przekierowań, co naraża szablony Razor, które korzystają z parametrów zapytania kontrolowanych przez użytkownika, na ataki związane z złośliwym przekierowaniem.
- CVE-2024-55488Średnie
W systemie Umbraco CMS w wersji 14.3.1 wykryto podatność na trwały atak XSS, umożliwiającą atakującemu wykonanie dowolnego skryptu lub kodu HTML poprzez spreparowany ładunek. Należy jednak zaznaczyć, że producent kwestionuje to zgłoszenie, argumentując, że atak jest możliwy tylko dla uwierzytelnionych użytkowników z ręcznie przyznanym dostępem do CMS, a decyzja o braku sanitacji HTML była celowa.
Oryginalny opis (angielski, źródło NVD)
Umbraco is a ASP.NET CMS. Under rare conditions a restart of Umbraco can allow unauthorized users access to admin-level permissions. This vulnerability was patched in versions 10.6.1, 11.4.2 and 12.0.1.