CVE-2025-12860
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w pliku /admin/freelist_main.php. Manipulacja argumentem orderby pozwala na wstrzyknięcie złośliwego kodu SQL. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne zapytania SQL, co grozi wyciekiem lub modyfikacją danych w bazie. Publiczna dostępność exploitu zwiększa ryzyko szybkiego wykorzystania.
Rekomendacja
Zaktualizuj DedeBIZ do najnowszej wersji lub wdroż poprawkę eliminującą podatność. Do czasu aktualizacji ogranicz dostęp do panelu administracyjnego.
Inne podatności w DedeBIZ
Zobacz wszystkie- CVE-2025-14648Średnie
W DedeBIZ do wersji 6.5.9 wykryto podatność w pliku /src/admin/catalog_add.php, która umożliwia wstrzyknięcie komend (command injection). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2023-43234Krytyczne
W DedeBIZ v6.2.11 odkryto wiele podatności zdalnego wykonania kodu (RCE) w pliku /admin/file_manage_control.php poprzez parametry $activepath i $filename.
- CVE-2025-12927Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w nieznanej funkcji pliku /admin/archives_add.php. Manipulacja argumentem flags[] prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12861Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w nieznanej funkcjonalności pliku /admin/spec_add.php. Manipulacja argumentem flags[] powoduje wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12859Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w pliku /admin/templets_one_edit.php. Manipulacja argumentem ids prowadzi do wstrzyknięcia kodu SQL. Exploit został ujawniony publicznie i może być wykorzystany zdalnie.
- CVE-2023-43232Średnie
W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2023-3839Średnie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem sqlquery w pliku /admin/sys_sql_query.php. Atak może być przeprowadzony zdalnie, a jego złożoność jest stosunkowo wysoka.
- CVE-2023-3837Niskie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację w nieznanej funkcji pliku /admin/sys_sql_query.php. Atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in DedeBIZ up to 6.3.2. Affected is an unknown function of the file /admin/freelist_main.php. The manipulation of the argument orderby results in sql injection. The attack can be executed remotely. The exploit has been made public and could be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS