CVE-2025-15394
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Wykryto podatność w iCMS do wersji 8.0.0. Funkcja Save w pliku app/config/ConfigAdmincp.php komponentu POST Parameter Handler umożliwia wstrzyknięcie kodu poprzez manipulację argumentem config. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Organizacja może zostać zdalnie zaatakowana, co może prowadzić do wykonania złośliwego kodu na serwerze i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie iCMS do najnowszej wersji, jeśli dostępna, oraz monitorowanie logów pod kątem podejrzanych żądań.
Inne podatności w iCMS
Zobacz wszystkie- CVE-2023-39806Krytyczne
W systemie iCMS w wersji 7.0.16 wykryto podatność na wstrzykiwanie SQL w funkcji bakupdata. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2023-39805Krytyczne
W systemie iCMS w wersji 7.0.16 wykryto podatność na wstrzykiwanie SQL w parametrze 'where' w pliku admincp.php. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in iCMS up to 8.0.0. Affected is the function Save of the file app/config/ConfigAdmincp.php of the component POST Parameter Handler. The manipulation of the argument config results in code injection. The attack can be launched remotely. The exploit is now public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.