CVE-2025-14648
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 94 - wyżej niż 94% wszystkich znanych CVE
Streszczenie
W DedeBIZ do wersji 6.5.9 wykryto podatność w pliku /src/admin/catalog_add.php, która umożliwia wstrzyknięcie komend (command injection). Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może wykonać dowolne komendy na serwerze, co może prowadzić do pełnej kompromitacji systemu i utraty danych.
Rekomendacja
Zaktualizuj DedeBIZ do najnowszej dostępnej wersji lub zastosuj poprawki zabezpieczające, jeśli są dostępne.
Inne podatności w DedeBIZ
Zobacz wszystkie- CVE-2023-43234Krytyczne
W DedeBIZ v6.2.11 odkryto wiele podatności zdalnego wykonania kodu (RCE) w pliku /admin/file_manage_control.php poprzez parametry $activepath i $filename.
- CVE-2023-43232Średnie
W DedeBIZ v6.2.11 odkryto podatność na trwały atak XSS w funkcji zarządzania kolumnami strony. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do parametru tytułu, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2023-3839Średnie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która pozwala na wstrzyknięcie SQL poprzez manipulację argumentem sqlquery w pliku /admin/sys_sql_query.php. Atak może być przeprowadzony zdalnie, a jego złożoność jest stosunkowo wysoka.
- CVE-2023-3837Niskie
W DedeBIZ 6.2.10 zidentyfikowano podatność, która umożliwia atak typu cross site scripting poprzez manipulację w nieznanej funkcji pliku /admin/sys_sql_query.php. Atak można przeprowadzić zdalnie.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in DedeBIZ up to 6.5.9. Affected by this vulnerability is an unknown functionality of the file /src/admin/catalog_add.php. Such manipulation leads to command injection. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS