CVE-2023-40876
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
DedeCMS w wersjach do 5.7.110 zawiera podatność typu cross-site scripting (XSS) w pliku /dede/freelist_add.php, wykorzystującą parametr title.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do przejęcia sesji użytkownika lub wstrzyknięcia złośliwego kodu, co zagraża bezpieczeństwu aplikacji i danych użytkowników.
Rekomendacja
Zaleca się aktualizację DedeCMS do najnowszej wersji, aby usunąć tę podatność oraz przegląd zabezpieczeń aplikacji.
Inne podatności w DedeCMS
Zobacz wszystkie- CVE-2017-17727Wysokie
DedeCMS w wersji do 5.6 umożliwia przesyłanie dowolnych plików oraz wykonywanie kodu PHP poprzez osadzenie kodu PHP w pliku .jpg, który jest używany w parametrze templet w pliku member/article_edit.php.
- CVE-2026-38615Krytyczne
Podatność w DedeCMS V5.7.118 umożliwia wykonanie poleceń w pliku file_manage_control.php, co pozwala atakującemu na zdalne wykonanie kodu na serwerze.
- CVE-2023-34842Krytyczne
Podatność zdalnego wykonania kodu w DedeCMS do wersji 5.7.109 umożliwia atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST do skryptu /dede/tpl.php.
- CVE-2023-37839Krytyczne
W DedeCMS v5.7.109 występuje podatność na przesyłanie dowolnych plików w /dede/file_manage_control.php, która pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PHP.
- CVE-2017-17731Krytyczne
DedeCMS w wersji do 5.7 jest podatny na atak SQL Injection poprzez superglobalną zmienną $_FILES w pliku plus/recommend.php.
- CVE-2017-17730Krytyczne
DedeCMS w wersji do 5.7 jest podatny na atak typu SQL Injection poprzez parametr logo w pliku plus/flink_add.php.
- CVE-2026-94004Wysokie
W DedeCMS do wersji 5.7.118 wykryto podatność w nieznanej funkcji pliku plus/mytag_js.php. Manipulacja argumentem aid prowadzi do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-76800Średnie
W DeDeCMS 3 znaleziono podatność w nieznanej funkcji pliku /include/dialog/select_media_post.php. Manipulacja argumentem uploadfile prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-76783Wysokie
W DeDeCMS 53_1_UTF8 wykryto podatność w nieznanym kodzie pliku /plus/advancedsearch.php. Manipulacja argumentem sql prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-19353Średnie
W produkcie DedeCMS do wersji 5.7.118 UTF8SP2 wykryto podatność prowadzącą do włączenia pliku w funkcji _4_Setup pliku install/index.php komponentu Installation Wizard. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudnym wykorzystaniem. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
DedeCMS up to and including 5.7.110 was discovered to contain a cross-site scripting (XSS) vulnerability at /dede/freelist_add.php via the title parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS