CVE-2025-15154
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność w PbootCMS do wersji 3.2.12 dotyczy funkcji get_user_ip w pliku core/function/handle.php. Manipulacja argumentem X-Forwarded-For prowadzi do użycia mniej zaufanego źródła.
Ocena ryzyka
Atak zdalny może wykorzystać tę podatność do obejścia mechanizmów bezpieczeństwa, co może prowadzić do nieautoryzowanych działań.
Rekomendacja
Zaktualizuj PbootCMS do najnowszej wersji i zabezpiecz aplikację przed nieautoryzowanym dostępem.
Inne podatności w PbootCMS
Zobacz wszystkie- CVE-2026-92383Średnie
Podatność CSRF w PbootCMS do wersji 3.2.24 w funkcjach UserController::del i UserController::mod w komponencie zarządzania użytkownikami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 3.2.25 rozwiązuje problem.
- CVE-2026-67960Krytyczne
Problem w PbootCMS w wersji 3.2.15 pozwala atakującemu na wykonanie dowolnego kodu poprzez komponenty MemberController.php, UserController.php, CommentController.php, ContentController.php oraz helper.php.
- CVE-2023-39834Krytyczne
W PbootCMS w wersjach poniżej 3.2.0 odkryto podatność na wstrzykiwanie poleceń poprzez funkcję create_function.
- CVE-2026-92381Niskie
W PbootCMS do wersji 3.2.22 zidentyfikowano słabość w funkcji decode_string pliku apps/admin/controller/content/ContentController.php w komponencie Template Rendering. Manipulacja argumentem Title powoduje cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony i może być wykorzystany.
- CVE-2026-79387Średnie
Podatność na iniekcję SQL w PbootCMS w wersjach od 3.2.0 do 3.2.5 pozwala uwierzytelnionemu użytkownikowi na modyfikację dowolnych pól kont użytkowników (w tym haseł i ról) poprzez spreparowane parametry do interfejsu User/mod, co umożliwia przejęcie konta.
- CVE-2026-36239Średnie
PbootCMS w wersji 3.2.11 zawiera podatność na wstrzykiwanie kodu w funkcji konfiguracji strony.
- CVE-2025-15153Niskie
W PbootCMS do wersji 3.2.12 znaleziono podatność w pliku /data/pbootcms.db w komponencie SQLite Database. Manipulacja prowadzi do dostępu do plików lub katalogów. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania.
- CVE-2020-20363Średnie
W systemie PbootCMS w wersji 2.0.3 wykryto podatność na atak typu Cross-Site Scripting (XSS) w pliku admin.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in PbootCMS up to 3.2.12. The affected element is the function get_user_ip of the file core/function/handle.php of the component Header Handler. The manipulation of the argument X-Forwarded-For leads to use of less trusted source. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS