CVE-2025-14013
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W JIZHICMS do wersji 2.5.5 zidentyfikowano podatność w nieznanej funkcji pliku /index.php/admins/Comment/addcomment.html w komponencie Comment Handler. Manipulacja argumentem body prowadzi do cross site scripting, a atak można zainicjować zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; dostawca został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć złośliwy skrypt wykonywany w przeglądarce administratora, co może prowadzić do kradzieży sesji lub przejęcia konta uprzywilejowanego.
Rekomendacja
Ogranicz dostęp do panelu administracyjnego JIZHICMS do zaufanych sieci i wdrażaj walidację danych wejściowych; śledź aktualizacje dostawcy w oczekiwaniu na poprawkę.
Inne podatności w JIZHICMS
Zobacz wszystkie- CVE-2025-25785Krytyczne
W JizhiCMS v2.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie \c\PluginsController.php. Umożliwia ona atakującemu skanowanie sieci wewnętrznej poprzez spreparowane żądanie.
- CVE-2025-25784Krytyczne
W Jizhicms v2.5.4 w komponencie TemplateController.php wykryto podatność na dowolne przesyłanie plików. Atakujący może przesłać spreparowany plik ZIP, co umożliwia zdalne wykonanie kodu na serwerze.
- CVE-2024-32161Krytyczne
JizhiCMS 2.5 zawiera podatność umożliwiającą wgrywanie plików bez odpowiedniej walidacji. Atakujący może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu.
- CVE-2025-70397Wysokie
W systemie jizhicms 2.5.6 wykryto podatność na iniekcję SQL w funkcjach Article/deleteAll oraz Extmolds/deleteAll poprzez parametr data. Atakujący może wstrzyknąć złośliwe zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
- CVE-2025-14012Średnie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcjach deleteAll/findAll/delete w pliku /index.php/admins/Comment/deleteAll.html w komponencie Batch Delete Comments. Manipulacja prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2025-14011Średnie
W JIZHICMS do wersji 2.5.5 wykryto podatność w funkcji commentlist w pliku /index.php/admins/Comment/addcomment.html w komponencie Add Display Name Field. Manipulacja argumentami aid/tid prowadzi do wstrzyknięcia SQL. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony.
- CVE-2020-21228Średnie
W JIZHICMS 1.5.1 w komponencie /user/release.html występuje podatność na atak XSS, która umożliwia atakującemu dowolne dodanie ciasteczka administratora.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in JIZHICMS up to 2.5.5. The impacted element is an unknown function of the file /index.php/admins/Comment/addcomment.html of the component Comment Handler. The manipulation of the argument body leads to cross site scripting. The attack may be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS