CVE-2023-41425
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Podatność na atak XSS w Wonder CMS w wersjach od 3.2.0 do 3.4.2 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez przesłanie spreparowanego skryptu do komponentu installModule.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przejęcia konta administratora lub defacementu strony.
Rekomendacja
Należy natychmiast zaktualizować Wonder CMS do najnowszej dostępnej wersji oraz ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych adresów IP.
Inne podatności w Wonder CMS
Zobacz wszystkie- CVE-2014-8701Wysokie
Wonder CMS 2014 umożliwia zdalnym atakującym uzyskanie wrażliwych informacji poprzez przeglądanie pliku /files/password, który ujawnia hasło w postaci nieosolonego hasha MD5.
- CVE-2014-8705Krytyczne
W Wonder CMS 2014 występuje podatność na zdalne włączenie pliku PHP w pliku editInplace.php, która pozwala zdalnym atakującym na wykonanie dowolnego kodu PHP poprzez URL w parametrze hook.
- CVE-2014-8704Krytyczne
Podatność na przejście do katalogu w pliku index.php w Wonder CMS 2014 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików za pomocą spreparowanego motywu.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in Wonder CMS v.3.2.0 thru v.3.4.2 allows a remote attacker to execute arbitrary code via a crafted script uploaded to the installModule component.