CVE-2025-12923

NiskieCVSS 2.7

Opublikowano: 10/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

W liweiyi ChestnutCMS do wersji 1.5.8, funkcja resourceDownload w pliku /dev-api/common/download jest podatna na path traversal poprzez manipulację argumentem path. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do odczytu dowolnych plików z serwera, co może prowadzić do ujawnienia poufnych danych, w tym plików konfiguracyjnych lub danych użytkowników.

Rekomendacja

Zaktualizuj ChestnutCMS do wersji zawierającej poprawkę. Jeśli nie jest to możliwe, ogranicz dostęp do wspomnianego punktu końcowego.

Inne podatności w ChestnutCMS

CVE-2026-36458Krytyczne
ChestnutCMS w wersji 1.5.10 zawiera podatność na wstrzykiwanie SQL. Parametr content tagu cms_content może być manipulowany w panelu administracyjnym i wstrzykiwany do zapytania SQL podczas renderowania szablonu.

Oryginalny opis (angielski, źródło NVD)

A vulnerability was determined in liweiyi ChestnutCMS up to 1.5.8. This vulnerability affects the function resourceDownload of the file /dev-api/common/download. Executing manipulation of the argument path can lead to path traversal. The attack can be launched remotely. The exploit has been publicly disclosed and may be utilized.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS