CVE-2025-12920
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
W qianfox FoxCMS do wersji 1.2.16 znaleziono lukę w funkcji add/edit pliku app/admin/controller/Product.php. Manipulacja argumentem Title powoduje cross-site scripting (XSS). Możliwe jest zdalne zainicjowanie ataku. Exploit został opublikowany i może być użyty. Producent został wcześnie powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce administratora lub użytkownika, co może prowadzić do przejęcia sesji lub innych ataków. Może to zaszkodzić integralności systemu.
Rekomendacja
Zaktualizuj FoxCMS do najnowszej wersji, jeśli dostępna, lub zastosuj filtrowanie danych wejściowych i kodowanie wyjściowe. Ponieważ producent nie odpowiedział, rozważ alternatywne rozwiązania.
Inne podatności w FoxCMS
Zobacz wszystkie- CVE-2025-25790Krytyczne
W systemie FoxCMS w wersji 1.2.5 wykryto podatność polegającą na dowolnym przesyłaniu plików w komponencie LocalTemplate.php. Atakujący może przesłać spreparowany plik ZIP, co umożliwia wykonanie dowolnego kodu na serwerze.
- CVE-2025-25789Krytyczne
W systemie FoxCMS w wersji 1.2.5 wykryto podatność zdalnego wykonania kodu (RCE) w metodzie index() w pliku \controller\Sitemap.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2026-9608Niskie
Podatność w QianFox FoxCMS do wersji 1.2.6. Nieznana funkcja w pliku /Tag/edit w panelu administratora jest podatna na atak XSS. Atak może być przeprowadzony zdalnie.
- CVE-2025-10251Średnie
W FoxCMS do wersji 1.24 funkcja batchCope w pliku /app/admin/controller/Images.php pozwala na manipulację argumentem ids, co prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-55422Wysokie
W FoxCMS 1.2.6 wykryto podatność na odbity atak XSS w skrypcie /index.php/plus. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane żądanie HTTP.
- CVE-2025-55409Wysokie
W FoxCMS 1.2.6 w skrypcie /index.php/article występuje podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in qianfox FoxCMS up to 1.2.16. Affected by this vulnerability is the function add/edit of the file app/admin/controller/Product.php. This manipulation of the argument Title causes cross site scripting. It is possible to initiate the attack remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS