CVE-2024-32206
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W WUZHICMS v4.1.0 w komponencie /affiche/admin/index.php występuje podatność na trwałe XSS. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML przez parametr $formdata.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarkach administratorów, co może prowadzić do kradzieży sesji, defacementu lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację WUZHICMS do najnowszej wersji oraz zastosowanie filtrowania i kodowania danych wejściowych w parametrze $formdata.
Inne podatności w WUZHICMS
Zobacz wszystkie- CVE-2026-91849Średnie
W WuzhiCMS do wersji 4.1.0 odkryto lukę w zabezpieczeniach. Dotyczy ona funkcji member::setAvatar w pliku /index.php?m=member&f=user&v=setAvatar komponentu Avatar Upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików.
- CVE-2026-91848Wysokie
W WuzhiCMS do wersji 4.1.0 zidentyfikowano lukę w funkcji article::getDataOfJson w pliku /index.php?m=content&f=article&v=getDataOfJson. Manipulacja argumentami title/master_table prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
- CVE-2026-15530Średnie
W WuzhiCMS do wersji 4.1.0 stwierdzono podatność w komponencie Attachment API. Funkcja config/listimage w pliku /index.php?m=attachment&f=index&v=upload umożliwia manipulację prowadzącą do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in the component \affiche\admin\index.php of WUZHICMS v4.1.0 allows attackers to execute arbitrary web scripts or HTML via a crafted payload injected into the $formdata parameter.