CVE-2023-4747
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W DedeCMS w wersji 5.7.110 odkryto krytyczną podatność, która dotyczy nieznanego kodu w pliku /uploads/tags.php. Manipulacja argumentem tag_alias prowadzi do wstrzyknięcia SQL.
Ocena ryzyka
Atakujący może zdalnie wykorzystać tę podatność, co stwarza poważne zagrożenie dla bezpieczeństwa danych w systemie.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie DedeCMS do najnowszej wersji, aby usunąć tę podatność oraz monitorowanie systemu pod kątem nieautoryzowanych działań.
Inne podatności w DedeCMS 5.7.110
Zobacz wszystkie- CVE-2017-17727Wysokie
DedeCMS w wersji do 5.6 umożliwia przesyłanie dowolnych plików oraz wykonywanie kodu PHP poprzez osadzenie kodu PHP w pliku .jpg, który jest używany w parametrze templet w pliku member/article_edit.php.
- CVE-2026-38615Krytyczne
Podatność w DedeCMS V5.7.118 umożliwia wykonanie poleceń w pliku file_manage_control.php, co pozwala atakującemu na zdalne wykonanie kodu na serwerze.
- CVE-2023-34842Krytyczne
Podatność zdalnego wykonania kodu w DedeCMS do wersji 5.7.109 umożliwia atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST do skryptu /dede/tpl.php.
- CVE-2023-37839Krytyczne
W DedeCMS v5.7.109 występuje podatność na przesyłanie dowolnych plików w /dede/file_manage_control.php, która pozwala atakującym na wykonanie dowolnego kodu poprzez przesłanie spreparowanego pliku PHP.
- CVE-2017-17731Krytyczne
DedeCMS w wersji do 5.7 jest podatny na atak SQL Injection poprzez superglobalną zmienną $_FILES w pliku plus/recommend.php.
- CVE-2017-17730Krytyczne
DedeCMS w wersji do 5.7 jest podatny na atak typu SQL Injection poprzez parametr logo w pliku plus/flink_add.php.
- CVE-2026-94004Wysokie
W DedeCMS do wersji 5.7.118 wykryto podatność w nieznanej funkcji pliku plus/mytag_js.php. Manipulacja argumentem aid prowadzi do wstrzyknięcia kodu. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-76800Średnie
W DeDeCMS 3 znaleziono podatność w nieznanej funkcji pliku /include/dialog/select_media_post.php. Manipulacja argumentem uploadfile prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany.
- CVE-2026-76783Wysokie
W DeDeCMS 53_1_UTF8 wykryto podatność w nieznanym kodzie pliku /plus/advancedsearch.php. Manipulacja argumentem sql prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-19353Średnie
W produkcie DedeCMS do wersji 5.7.118 UTF8SP2 wykryto podatność prowadzącą do włączenia pliku w funkcji _4_Setup pliku install/index.php komponentu Installation Wizard. Atak może być przeprowadzony zdalnie, ale charakteryzuje się wysoką złożonością i trudnym wykorzystaniem. Exploit został publicznie ujawniony.
Oryginalny opis (angielski, źródło NVD)
A vulnerability classified as critical was found in DedeCMS 5.7.110. This vulnerability affects unknown code of the file /uploads/tags.php. The manipulation of the argument tag_alias leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used. The identifier of this vulnerability is VDB-238636.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS