CVE-2025-12861
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w nieznanej funkcjonalności pliku /admin/spec_add.php. Manipulacja argumentem flags[] powoduje wstrzyknięcie SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Możliwe nieautoryzowane wykonanie zapytań SQL, wyciek lub modyfikacja danych w bazie oraz potencjalne przejęcie kontroli nad aplikacją. Publiczny exploit zwiększa ryzyko.
Rekomendacja
Zaktualizuj DedeBIZ do wersji zawierającej poprawkę lub ogranicz dostęp do /admin/spec_add.php. Wprowadź walidację i parametryzację zapytań SQL.
Inne podatności w DedeBIZ
Zobacz wszystkie- CVE-2025-14648Średnie
W DedeBIZ do wersji 6.5.9 wykryto podatność w pliku /src/admin/catalog_add.php, która umożliwia wstrzyknięcie komend (command injection). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2023-43234Krytyczne
W DedeBIZ v6.2.11 odkryto wiele podatności zdalnego wykonania kodu (RCE) w pliku /admin/file_manage_control.php poprzez parametry $activepath i $filename.
- CVE-2025-12927Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w nieznanej funkcji pliku /admin/archives_add.php. Manipulacja argumentem flags[] prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-12860Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w pliku /admin/freelist_main.php. Manipulacja argumentem orderby pozwala na wstrzyknięcie złośliwego kodu SQL. Exploit został publicznie ujawniony i może być wykorzystany zdalnie.
- CVE-2025-12859Średnie
W DedeBIZ do wersji 6.3.2 wykryto podatność SQL injection w pliku /admin/templets_one_edit.php. Manipulacja argumentem ids prowadzi do wstrzyknięcia kodu SQL. Exploit został ujawniony publicznie i może być wykorzystany zdalnie.
- CVE-2023-43232Średnie
W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2023-3839Średnie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem sqlquery w pliku /admin/sys_sql_query.php. Atak może być przeprowadzony zdalnie, a jego złożoność jest stosunkowo wysoka.
- CVE-2023-3837Niskie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację w nieznanej funkcji pliku /admin/sys_sql_query.php. Atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in DedeBIZ up to 6.3.2. Affected by this vulnerability is an unknown functionality of the file /admin/spec_add.php. This manipulation of the argument flags[] causes sql injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS