CVE-2025-15153
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W PbootCMS do wersji 3.2.12 znaleziono podatność w pliku /data/pbootcms.db w komponencie SQLite Database. Manipulacja prowadzi do dostępu do plików lub katalogów. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.
Ocena ryzyka
Podatność może umożliwić nieautoryzowany dostęp do plików lub katalogów, co może prowadzić do ujawnienia danych lub dalszych ataków. Zdalny atak jest możliwy, ale wymaga wysokiej złożoności.
Rekomendacja
Zalecane jest zmodyfikowanie ustawień konfiguracyjnych w celu ograniczenia dostępu do bazy danych. Należy również rozważyć aktualizację PbootCMS do nowszej wersji, jeśli dostępna.
Inne podatności w PbootCMS
Zobacz wszystkie- CVE-2026-92383Średnie
Podatność CSRF w PbootCMS do wersji 3.2.24 w funkcjach UserController::del i UserController::mod w komponencie zarządzania użytkownikami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 3.2.25 rozwiązuje problem.
- CVE-2026-67960Krytyczne
Problem w PbootCMS w wersji 3.2.15 pozwala atakującemu na wykonanie dowolnego kodu poprzez komponenty MemberController.php, UserController.php, CommentController.php, ContentController.php oraz helper.php.
- CVE-2023-39834Krytyczne
W PbootCMS w wersjach poniżej 3.2.0 odkryto podatność na wstrzykiwanie poleceń poprzez funkcję create_function.
- CVE-2026-92381Niskie
W PbootCMS do wersji 3.2.22 zidentyfikowano słabość w funkcji decode_string pliku apps/admin/controller/content/ContentController.php w komponencie Template Rendering. Manipulacja argumentem Title powoduje cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony i może być wykorzystany.
- CVE-2026-79387Średnie
Podatność na iniekcję SQL w PbootCMS w wersjach od 3.2.0 do 3.2.5 pozwala uwierzytelnionemu użytkownikowi na modyfikację dowolnych pól kont użytkowników (w tym haseł i ról) poprzez spreparowane parametry do interfejsu User/mod, co umożliwia przejęcie konta.
- CVE-2026-36239Średnie
PbootCMS w wersji 3.2.11 zawiera podatność na wstrzykiwanie kodu w funkcji konfiguracji strony.
- CVE-2025-15154Średnie
Podatność w PbootCMS do wersji 3.2.12 dotyczy funkcji get_user_ip w pliku core/function/handle.php. Manipulacja argumentem X-Forwarded-For prowadzi do użycia mniej zaufanego źródła.
- CVE-2020-20363Średnie
W systemie PbootCMS w wersji 2.0.3 wykryto podatność na atak typu Cross-Site Scripting (XSS) w pliku admin.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in PbootCMS up to 3.2.12. Impacted is an unknown function of the file /data/pbootcms.db of the component SQLite Database. Executing a manipulation can lead to files or directories accessible. It is possible to launch the attack remotely. Attacks of this nature are highly complex. The exploitability is considered difficult. The exploit has been made available to the public and could be used for attacks. Modifying the configuration settings is advised.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS