CVE-2025-14837
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W ZZCMS 2025 wykryto podatność w funkcji stripfxg pliku /admin/siteconfig.php w komponencie Backend Website Settings Module. Manipulacja argumentem icp prowadzi do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie, a exploit został upubliczniony.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wstrzyknięcia kodu, co może umożliwić przejęcie kontroli nad systemem lub wykonanie nieautoryzowanych działań.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek dostarczonych przez producenta oraz ograniczenie dostępu do panelu administracyjnego.
Inne podatności w ZZCMS
Zobacz wszystkie- CVE-2025-14836Niskie
Wada w ZZCMS 2025 dotyczy nieznanej funkcjonalności w pliku /reg/user_save.php komponentu User Data Storage Module. Manipulacja powoduje przechowywanie danych w postaci jawnego tekstu w pliku lub na dysku. Zdalne wykorzystanie ataku jest możliwe. Exploit został opublikowany.
- CVE-2023-36162Wysokie
W ZZCMS w wersji 2023 i wcześniejszych występuje podatność typu Cross Site Request Forgery, która pozwala zdalnemu atakującemu na uzyskanie uprawnień poprzez funkcję dodawania w pliku adminlist.php.
- CVE-2020-23630Wysokie
W systemie zzcms w wersji 201910 wykryto podatność na ślepe wstrzykiwanie SQL oparte na czasie, wykorzystujące manipulację ciasteczkami. Atakujący może wysyłać spreparowane zapytania SQL poprzez parametry ciasteczek, co pozwala na nieautoryzowany dostęp do bazy danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in ZZCMS 2025. Affected by this issue is the function stripfxg of the file /admin/siteconfig.php of the component Backend Website Settings Module. Such manipulation of the argument icp leads to code injection. The attack can be executed remotely. The exploit has been disclosed to the public and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS