CVE-2025-10758
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W htmly do wersji 3.1.0 wykryto podatność cross-site scripting (XSS) w pliku /htmly/admin/field/post, w komponencie Custom Field Handler. Manipulacja argumentem label prowadzi do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Brak odpowiedzi producenta oznacza brak oficjalnej poprawki.
Rekomendacja
Wdróż walidację i sanityzację argumentu label oraz rozważ użycie WAF. Monitoruj dostępne aktualizacje i rozważ alternatywne rozwiązania, jeśli poprawka nie zostanie wydana.
Inne podatności w htmly
Zobacz wszystkie- CVE-2026-37107Krytyczne
Problem w HTMLy v.3.1.1 pozwala zdalnemu atakującemu na eskalację uprawnień poprzez funkcję get_feed w komponencie admin.php.
- CVE-2026-18644Średnie
Podatność w danpros HTMLy do wersji 3.1.1 włącznie, dotycząca funkcji unlink w pliku /system/htmly.php w komponencie Delete Username Endpoint, umożliwia manipulację argumentem File prowadzącą do path traversal. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2022-25022Średnie
W Htmly v2.8.1 wykryto podatność na ataki typu cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnych skryptów HTML poprzez spreparowany ładunek w polu treści wpisu na blogu.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in htmly up to 3.1.0. The impacted element is an unknown function of the file /htmly/admin/field/post of the component Custom Field Handler. Such manipulation of the argument label leads to cross site scripting. The attack can be launched remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS