CVE-2025-11332
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W CmsEasy do wersji 7.7.7 wykryto podatność cross-site scripting (XSS) w bibliotece lib/inc/view.php, w komponencie URL Handler. Manipulacja argumentem PHP_SELF może prowadzić do wykonania złośliwego skryptu. Exploit został publicznie ujawniony, a producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Brak odpowiedzi producenta oznacza brak oficjalnej poprawki.
Rekomendacja
Wdróż walidację i sanityzację argumentu PHP_SELF oraz rozważ użycie WAF. Monitoruj dostępne aktualizacje i rozważ alternatywne rozwiązania, jeśli poprawka nie zostanie wydana.
Inne podatności w CmsEasy
Zobacz wszystkie- CVE-2025-15148Średnie
Znaleziono błąd w CmsEasy do wersji 7.7.7. Dotyczy on funkcji savetemp_action w bibliotece /lib/admin/template_admin.php w komponencie Backend Template Management Page. Wykonanie manipulacji argumentem content/tempdata może prowadzić do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent został poinformowany wcześnie, ale nie odpowiedział.
- CVE-2024-32162Średnie
W systemie CMSeasy w wersji 7.7.7.9 wykryto podatność umożliwiającą dowolne usuwanie plików. Atakujący może wykorzystać tę lukę do usunięcia krytycznych plików systemowych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in CmsEasy up to 7.7.7. This affects an unknown function in the library lib/inc/view.php of the component URL Handler. Executing a manipulation of the argument PHP_SELF can lead to cross site scripting. The attack may be launched remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS