CVE-2025-10251
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W FoxCMS do wersji 1.24 funkcja batchCope w pliku /app/admin/controller/Images.php pozwala na manipulację argumentem ids, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wykonać dowolne zapytania SQL, potencjalnie ujawniając lub modyfikując dane w bazie danych.
Rekomendacja
Zaktualizuj FoxCMS do najnowszej wersji lub wdróż poprawki zapobiegające wstrzyknięciom SQL.
Inne podatności w FoxCMS
Zobacz wszystkie- CVE-2025-25790Krytyczne
W systemie FoxCMS w wersji 1.2.5 wykryto podatność polegającą na dowolnym przesyłaniu plików w komponencie LocalTemplate.php. Atakujący może przesłać spreparowany plik ZIP, co umożliwia wykonanie dowolnego kodu na serwerze.
- CVE-2025-25789Krytyczne
W systemie FoxCMS w wersji 1.2.5 wykryto podatność zdalnego wykonania kodu (RCE) w metodzie index() w pliku \controller\Sitemap.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2026-9608Niskie
Podatność w QianFox FoxCMS do wersji 1.2.6. Nieznana funkcja w pliku /Tag/edit w panelu administratora jest podatna na atak XSS. Atak może być przeprowadzony zdalnie.
- CVE-2025-12920Niskie
W qianfox FoxCMS do wersji 1.2.16 znaleziono lukę w funkcji add/edit pliku app/admin/controller/Product.php. Manipulacja argumentem Title powoduje cross-site scripting (XSS). Możliwe jest zdalne zainicjowanie ataku. Exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
- CVE-2025-55422Wysokie
W FoxCMS 1.2.6 wykryto podatność na odbity atak XSS w skrypcie /index.php/plus. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane żądanie HTTP.
- CVE-2025-55409Wysokie
W FoxCMS 1.2.6 w skrypcie /index.php/article występuje podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in FoxCMS up to 1.24. Affected by this issue is the function batchCope of the file /app/admin/controller/Images.php. The manipulation of the argument ids results in sql injection. It is possible to launch the attack remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS