CVE-2025-14011
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcji commentlist w pliku /index.php/admins/Comment/addcomment.html w komponencie Add Display Name Field. Manipulacja argumentami aid/tid prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykorzystać podatność do wstrzyknięcia SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych, modyfikacji lub usunięcia danych. Publiczna dostępność exploitu zwiększa ryzyko.
Rekomendacja
Zaktualizuj JIZHICMS do najnowszej wersji, jeśli dostępna, lub zastosuj poprawki od dostawcy. Do czasu wydania poprawki rozważ ograniczenie dostępu do panelu administracyjnego.
Inne podatności w JIZHICMS
Zobacz wszystkie- CVE-2025-25785Krytyczne
W JizhiCMS v2.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie \c\PluginsController.php. Umożliwia ona atakującemu skanowanie sieci wewnętrznej poprzez spreparowane żądanie.
- CVE-2025-25784Krytyczne
W Jizhicms v2.5.4 w komponencie TemplateController.php wykryto podatność na dowolne przesyłanie plików. Atakujący może przesłać spreparowany plik ZIP, co umożliwia zdalne wykonanie kodu na serwerze.
- CVE-2024-32161Krytyczne
JizhiCMS 2.5 zawiera podatność umożliwiającą wgrywanie plików bez odpowiedniej walidacji. Atakujący może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu.
- CVE-2025-70397Wysokie
W systemie jizhicms 2.5.6 wykryto podatność na iniekcję SQL w funkcjach Article/deleteAll oraz Extmolds/deleteAll poprzez parametr data. Atakujący może wstrzyknąć złośliwe zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
- CVE-2025-14013Niskie
W JIZHICMS do wersji 2.5.5 zidentyfikowano podatność w nieznanej funkcji pliku /index.php/admins/Comment/addcomment.html w komponencie Comment Handler. Manipulacja argumentem body prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca został powiadomiony, ale nie odpowiedział.
- CVE-2025-14012Średnie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcjach deleteAll/findAll/delete w pliku /index.php/admins/Comment/deleteAll.html w komponencie Batch Delete Comments. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2020-21228Średnie
W JIZHICMS 1.5.1 w komponencie /user/release.html występuje podatność na atak XSS, która umożliwia atakującemu dowolne dodanie ciasteczka administratora.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in JIZHICMS up to 2.5.5. Impacted is the function commentlist of the file /index.php/admins/Comment/addcomment.html of the component Add Display Name Field. Performing a manipulation of the argument aid/tid results in sql injection. The attack can be initiated remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS