CVE-2025-15148

ŚrednieCVSS 4.7

Opublikowano: 28/12/2025(UTC)Zaktualizowano: 05/10/2026(UTC)Przetłumaczono: 06/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

Znaleziono błąd w CmsEasy do wersji 7.7.7. Dotyczy on funkcji savetemp_action w bibliotece /lib/admin/template_admin.php w komponencie Backend Template Management Page. Wykonanie manipulacji argumentem content/tempdata może prowadzić do wstrzyknięcia kodu. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent został poinformowany wcześnie, ale nie odpowiedział.

Ocena ryzyka

Ryzyko obejmuje możliwość zdalnego wykonania dowolnego kodu w kontekście aplikacji, co może prowadzić do pełnej kompromitacji systemu i naruszenia danych.

Rekomendacja

Zaleca się natychmiastową aktualizację CmsEasy do wersji nowszej niż 7.7.7 oraz ograniczenie dostępu do panelu administracyjnego.

Inne podatności w CmsEasy

CVE-2024-32162Średnie
W systemie CMSeasy w wersji 7.7.7.9 wykryto podatność umożliwiającą dowolne usuwanie plików. Atakujący może wykorzystać tę lukę do usunięcia krytycznych plików systemowych.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in CmsEasy up to 7.7.7. Affected is the function savetemp_action in the library /lib/admin/template_admin.php of the component Backend Template Management Page. Executing a manipulation of the argument content/tempdata can lead to code injection. The attack may be launched remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS