CVE-2023-43234
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
W DedeBIZ v6.2.11 odkryto wiele podatności zdalnego wykonania kodu (RCE) w pliku /admin/file_manage_control.php poprzez parametry $activepath i $filename.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia kontroli nad systemem, kradzieży danych lub zakłócenia działania usług.
Rekomendacja
Należy natychmiast zaktualizować DedeBIZ do najnowszej dostępnej wersji oraz ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych adresów IP.
Inne podatności w DedeBIZ
Zobacz wszystkie- CVE-2025-14648Średnie
W DedeBIZ do wersji 6.5.9 wykryto podatność w pliku /src/admin/catalog_add.php, która umożliwia wstrzyknięcie komend (command injection). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12927Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w nieznanej funkcji pliku /admin/archives_add.php. Manipulacja argumentem flags[] prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12861Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w nieznanej funkcjonalności pliku /admin/spec_add.php. Manipulacja argumentem flags[] powoduje wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12860Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w pliku /admin/freelist_main.php. Manipulacja argumentem orderby pozwala na wstrzyknięcie złośliwego kodu SQL. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.
- CVE-2025-12859Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w pliku /admin/templets_one_edit.php. Manipulacja argumentem ids prowadzi do wstrzyknięcia kodu SQL. Exploit został ujawniony publicznie i może być wykorzystany zdalnie.
- CVE-2023-43232Średnie
W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2023-3839Średnie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem sqlquery w pliku /admin/sys_sql_query.php. Atak może być przeprowadzony zdalnie, a jego złożoność jest stosunkowo wysoka.
- CVE-2023-3837Niskie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację w nieznanej funkcji pliku /admin/sys_sql_query.php. Atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
DedeBIZ v6.2.11 was discovered to contain multiple remote code execution (RCE) vulnerabilities at /admin/file_manage_control.php via the $activepath and $filename parameters.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS