CVE-2024-58279
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 60 - wyżej niż 60% wszystkich znanych CVE
Streszczenie
appRain CMF 4.0.5 zawiera podatność umożliwiającą zdalne wykonanie kodu przez uwierzytelnionego użytkownika. Administrator może przesłać złośliwy plik PHP poprzez endpoint filemanager, tworząc web shell z możliwością wykonania poleceń.
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolne polecenia na serwerze, co prowadzi do pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj appRain CMF do najnowszej wersji i ogranicz możliwość przesyłania plików PHP przez filemanager.
Inne podatności w appRain CMF
Zobacz wszystkie- CVE-2025-41052Średnie
Podatność na przechowywany (Stored) XSS w appRain CMF w wersji 4.0.5, wynikająca z braku walidacji danych wejściowych w parametrach 'data[Addon][layouts]' i 'data[Addon][layouts_except]' w ścieżce /apprain/developer/addons/update/canvasjs. Wymaga uwierzytelnienia.
- CVE-2025-41044Średnie
Podatność na przechowywany (Stored) XSS w appRain CMF w wersji 4.0.5, wynikająca z braku walidacji danych wejściowych w parametrze 'data[Page][name]' w ścieżce /apprain/page/manage-static-pages/create. Wymaga uwierzytelnienia.
- CVE-2025-41036Średnie
W systemie appRain CMF w wersji 4.0.5 wykryto podatność na przechowywane XSS (Stored XSS) z powodu braku odpowiedniej walidacji danych wejściowych użytkownika w parametrach 'data[Admin][description]', 'data[Admin][f_name]' i 'data[Admin][l_name]' w ścieżce /apprain/admin/account/edit.
Oryginalny opis (angielski, źródło NVD)
appRain CMF 4.0.5 contains an authenticated remote code execution vulnerability that allows administrative users to upload malicious PHP files through the filemanager upload endpoint. Attackers can leverage authenticated access to generate a web shell with command execution capabilities by uploading a crafted PHP file to the site's uploads directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS