CVE-2025-10471
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W ZKEACMS 4.3 wykryto podatność w funkcji Proxy w pliku MediaController.cs. Manipulacja argumentem url prowadzi do podatności SSRF (Server-Side Request Forgery). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Podatność SSRF może pozwolić atakującemu na wysyłanie żądań z serwera do zasobów wewnętrznych, co może prowadzić do ujawnienia danych lub dalszych ataków w sieci wewnętrznej.
Rekomendacja
Zaktualizuj ZKEACMS do najnowszej wersji, jeśli poprawka jest dostępna, lub ogranicz dostęp do funkcji Proxy i weryfikuj argumenty URL. Rozważ wdrożenie reguł WAF blokujących podejrzane żądania.
Inne podatności w ZKEACMS
Zobacz wszystkie- CVE-2026-111633Wysokie
ZKEACMS do wersji 4.4 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym fałszować tokeny bearer JWT REST API przy użyciu zaszytego klucza podpisywania HMAC-SHA256 w JwtBearerDefaults.cs. Atakujący mogą podpisać token z roszczeniem Name ustawionym na 'admin', aby wywoływać endpointy ApiAuthorize, modyfikując artykuły i produkty oraz czytając przesłane formularze.
- CVE-2025-52239Krytyczne
Podatność umożliwiająca dowolne przesyłanie plików w ZKEACMS v4.1 pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowany plik.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in ZKEACMS 4.3. Impacted is the function Proxy of the file src/ZKEACMS/Controllers/MediaController.cs. Performing manipulation of the argument url results in server-side request forgery. It is possible to initiate the attack remotely. The exploit is now public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS