CVE-2025-11078
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Zidentyfikowano podatność w itsourcecode Open Source Job Portal 1.0. Dotknięta jest nieznana funkcjonalność w pliku /admin/user/controller.php?action=photos. Manipulacja argumentem photo prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny i może być użyty.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego przesłania złośliwych plików, co może prowadzić do przejęcia serwera lub wykonania dowolnego kodu.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek lub ograniczenie dostępu do funkcji przesyłania plików, a także walidację przesyłanych plików.
Inne podatności w itsourcecode Open Source Job Portal
Zobacz wszystkie- CVE-2025-11090Średnie
W systemie itsourcecode Open Source Job Portal 1.0 wykryto podatność na SQL injection w pliku /admin/employee/index.php?view=edit. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Exploit jest publicznie dostępny.
- CVE-2025-11088Średnie
W systemie itsourcecode Open Source Job Portal 1.0 wykryto podatność na SQL injection w pliku /admin/vacancy/index.php?view=edit. Manipulacja argumentem ID umożliwia zdalne wykonanie ataku. Exploit został publicznie udostępniony.
- CVE-2025-11054Średnie
W aplikacji itsourcecode Open Source Job Portal 1.0 wykryto podatność w pliku /jobportal/admin/category/index.php?view=edit. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-11041Średnie
W systemie itsourcecode Open Source Job Portal 1.0 występuje podatność SQL injection w pliku /admin/user/index.php?view=edit. Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in itsourcecode Open Source Job Portal 1.0. Affected by this vulnerability is an unknown functionality of the file /admin/user/controller.php?action=photos. The manipulation of the argument photo leads to unrestricted upload. The attack is possible to be carried out remotely. The exploit is publicly available and might be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS