CVE-2025-10353
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 85 - wyżej niż 85% wszystkich znanych CVE
Streszczenie
W module „melis-cms-slider” platformy Melis Technology Melis Platform występuje podatność przesyłania plików prowadząca do zdalnego wykonania kodu (RCE). Atakujący może przesłać złośliwy plik poprzez żądanie POST do '/melis/MelisCmsSlider/MelisCmsSliderDetails/saveDetailsForm' z parametrem 'mcsdetail_img'.
Ocena ryzyka
Atakujący może przesłać i wykonać złośliwy kod na serwerze, co prowadzi do pełnego przejęcia aplikacji i danych.
Rekomendacja
Zaktualizuj Melis Platform do najnowszej wersji i wprowadź walidację typów plików oraz ograniczenia wykonywania w katalogu przesyłania.
Inne podatności w Melis Platform
Zobacz wszystkie- CVE-2025-10352Krytyczne
Podatność w module melis-core platformy Melis od Melis Technology pozwala nieuwierzytelnionemu atakującemu na utworzenie konta administratora. Wykorzystanie następuje poprzez żądanie do punktu końcowego '/melis/MelisCore/ToolUser/addNewUser'.
- CVE-2025-10351Krytyczne
Podatność typu SQL injection w module melis-cms platformy Melis od Melis Technology pozwala atakującemu na odczyt, tworzenie, aktualizację i usuwanie danych w bazie danych. Podatność występuje w parametrze 'idPage' w punkcie końcowym '/melis/MelisCms/PageEdition/getTinyTemplates'.
Oryginalny opis (angielski, źródło NVD)
File upload leading to remote code execution (RCE) in the “melis-cms-slider” module of Melis Technology's Melis Platform. This vulnerability allows an attacker to upload a malicious file via a POST request to '/melis/MelisCmsSlider/MelisCmsSliderDetails/saveDetailsForm' using the 'mcsdetail_img' parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS