CVE-2024-44916
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
Podatność w pliku admin_ip.php w Seacms v13.1, gdy akcja to 'set', umożliwia atakującym kontrolowanie parametrów IP, które są zapisywane do pliku data/admin/ip.php, co może prowadzić do wykonania dowolnych poleceń.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości zdalnego wykonania kodu przez atakującego, co może skutkować przejęciem kontroli nad serwerem i naruszeniem poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Seacms do najnowszej wersji oraz ograniczenie dostępu do panelu administracyjnego tylko dla zaufanych adresów IP.
Inne podatności w Seacms
Zobacz wszystkie- CVE-2017-17561Wysokie
SeaCMS w wersji 6.56 pozwala zdalnie uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez spreparowane pole token w pliku admin/admin_ping.php, które współdziała z data/admin/ping.php.
- CVE-2024-54879Krytyczne
SeaCMS V13.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Błąd logiczny umożliwia atakującemu dowolne, nieograniczone doładowywanie kont członkowskich.
- CVE-2023-46010Krytyczne
W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2025-50592Średnie
W systemie SeaCMS przed wersją 13.2 wykryto podatność na atak typu Cross-Site Scripting (XSS) poprzez parametr 'vid' w skrypcie Upload/js/player/dmplayer/player. Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
- CVE-2025-25813Średnie
W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_files.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2025-25802Średnie
W SeaCMS v13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_ip.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2025-25800Średnie
W SeaCMS 13.3 wykryto podatność umożliwiającą odczyt dowolnego pliku przez funkcję file_get_contents w pliku admin_safe_file.php.
- CVE-2025-25799Średnie
W SeaCMS 13.3 wykryto podatność umożliwiającą odczyt dowolnego pliku przez funkcję file_get_contents w pliku admin_safe.php.
- CVE-2025-25797Średnie
W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_smtp.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2025-25796Średnie
W SeaCMS v13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_template.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
Vulnerability in admin_ip.php in Seacms v13.1, when action=set, allows attackers to control IP parameters that are written to the data/admin/ip.php file and could result in arbitrary command execution.