CVE-2025-10122
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W Maccms10 w wersji 2025.1000.4050 wykryto podatność typu SQL injection w funkcji rep w pliku application/admin/controller/Database.php. Manipulacja argumentem where pozwala na wstrzyknięcie kodu SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność może pozwolić atakującemu na nieautoryzowany dostęp do bazy danych, modyfikację lub wyciek danych. Ponieważ exploit jest publiczny, ryzyko wykorzystania jest wysokie.
Rekomendacja
Należy jak najszybciej zaktualizować Maccms10 do wersji zawierającej poprawkę lub zastosować środki zaradcze (np. walidację danych wejściowych, WAF). Zaleca się również ograniczenie dostępu do panelu administracyjnego.
Inne podatności w Maccms10
Zobacz wszystkie- CVE-2026-90788Średnie
W systemie magicblack MacCMS10 w wersji 2026.1000.4055 wykryto podatność nieznanej funkcji w pliku /admin1.php/admin/template/index/path/.%40template%40default%40html%40label.html w komponencie Template Handler. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być przeprowadzony zdalnie. Exploit został upubliczniony i może być wykorzystywany. Projekt nie odpowiedział na zgłoszenie.
- CVE-2026-71232Wysokie
Edytor szablonów w MacCMS10 (application/admin/controller/Template.php) blokuje niebezpieczne funkcje PHP w treści szablonu za pomocą czarnej listy, ale lista pominęła funkcje: exec, passthru, popen, show_source, create_function, register_shutdown_function, register_tick_function i error_log.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Maccms10 2025.1000.4050. Affected is the function rep of the file application/admin/controller/Database.php. Performing manipulation of the argument where results in sql injection. The attack can be initiated remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS