CVE-2025-12202

ŚrednieCVSS 4.3

Opublikowano: 27/10/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.29%

Percentyl 20 - wyżej niż 20% wszystkich znanych CVE

Streszczenie

W aplikacji User-Management-PHP-MYSQL (do commita fedcf58797bf2791591606f7b61fdad99ad8bff1) wykryto lukę typu cross-site request forgery (CSRF). Podatność dotyczy nieznanego fragmentu kodu i może być wykorzystana zdalnie. Exploit został publicznie ujawniony i może być użyty przez atakujących.

Ocena ryzyka

Atakujący może zmusić uwierzytelnionego użytkownika do wykonania niepożądanych akcji w aplikacji, co może prowadzić do modyfikacji danych lub przejęcia konta. Ze względu na publiczny exploit ryzyko jest wysokie.

Rekomendacja

Zastosuj tokeny anty-CSRF we wszystkich formularzach i akcjach modyfikujących stan. Ponieważ dostawca nie odpowiedział na zgłoszenie, rozważ wdrożenie własnych poprawek lub zmianę oprogramowania na aktywnie utrzymywane.

Inne podatności w User-Management-PHP-MYSQL

CVE-2025-12201Średnie
Podatność w projekcie ajayrandhawa User-Management-PHP-MYSQL (do wersji fedcf58797bf2791591606f7b61fdad99ad8bff1). Dotyczy nieznanej części pliku /admin/edit-user.php w komponencie User Management Interface. Manipulacja argumentem image prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, exploit jest publicznie dostępny.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in ajayrandhawa User-Management-PHP-MYSQL web up to fedcf58797bf2791591606f7b61fdad99ad8bff1. This vulnerability affects unknown code. Performing manipulation results in cross-site request forgery. The attack can be initiated remotely. The exploit has been released to the public and may be exploited. Continious delivery with rolling releases is used by this product. Therefore, no version details of affected nor updated releases are available. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS