CVE-2025-14836
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wada w ZZCMS 2025 dotyczy nieznanej funkcjonalności w pliku /reg/user_save.php komponentu User Data Storage Module. Manipulacja powoduje przechowywanie danych w postaci jawnego tekstu w pliku lub na dysku. Zdalne wykorzystanie ataku jest możliwe. Exploit został opublikowany.
Ocena ryzyka
Ryzyko ujawnienia danych użytkowników przechowywanych w postaci jawnego tekstu, co może prowadzić do naruszenia poufności danych.
Rekomendacja
Zaleca się aktualizację ZZCMS do najnowszej wersji oraz wdrożenie szyfrowania danych wrażliwych w bazie danych i na dysku.
Inne podatności w ZZCMS
Zobacz wszystkie- CVE-2025-14837Średnie
W ZZCMS 2025 wykryto podatność w funkcji stripfxg pliku /admin/siteconfig.php w komponencie Backend Website Settings Module. Manipulacja argumentem icp prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
- CVE-2023-36162Wysokie
W ZZCMS w wersji 2023 i wcześniejszych występuje podatność typu Cross Site Request Forgery, która pozwala zdalnemu atakującemu na uzyskanie uprawnień poprzez funkcję dodawania w pliku adminlist.php.
- CVE-2020-23630Wysokie
W systemie zzcms w wersji 201910 wykryto podatność na ślepe wstrzykiwanie SQL oparte na czasie, wykorzystujące manipulację ciasteczkami. Atakujący może wysyłać spreparowane zapytania SQL poprzez parametry ciasteczek, co pozwala na nieautoryzowany dostęp do bazy danych.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in ZZCMS 2025. Affected by this vulnerability is an unknown functionality of the file /reg/user_save.php of the component User Data Storage Module. This manipulation causes cleartext storage in a file or on disk. Remote exploitation of the attack is possible. The exploit has been published and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS