CVE-2025-14006
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej funkcjonalności pliku /admind45f74adbd95.php?c=field&m=add&rname=site&rid=1&page=1 w komponencie Add Data Validation Page. Manipulacja argumentem data[name] prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.
Ocena ryzyka
Możliwe jest wykonanie złośliwego skryptu w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych. Exploit jest publicznie dostępny i może być wykorzystany.
Rekomendacja
Zaktualizuj XunRuiCMS do wersji nowszej niż 4.7.1, gdy tylko będzie dostępna. Do czasu aktualizacji rozważ ograniczenie dostępu do panelu administracyjnego.
Inne podatności w XunRuiCMS
Zobacz wszystkie- CVE-2026-101018Średnie
Podatność w XunruiCMS do wersji 4.7.2 dotyczy funkcji group_all_edit w pliku dayrui/App/Member/Controllers/Admin/Home.php komponentu Group Editing. Manipulacja argumentem groupid powoduje SQL injection. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-14007Niskie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej części pliku /admin79f2ec220c7e.php?c=api&m=demo&name=mobile w komponencie Domain Name Binding Page. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie i wymaga wysokiej złożoności.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in dayrui XunRuiCMS up to 4.7.1. Affected by this issue is some unknown functionality of the file /admind45f74adbd95.php?c=field&m=add&rname=site&rid=1&page=1 of the component Add Data Validation Page. The manipulation of the argument data[name] leads to cross site scripting. The attack is possible to be carried out remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS