CVE-2025-15415
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W systemie wangmarket (do wersji 6.4) wykryto podatność na nieograniczone przesyłanie plików w funkcji uploadImage w pliku /sits/uploadImage.do. Manipulacja argumentem image umożliwia zdalne wykorzystanie.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do wykonania kodu lub przejęcia kontroli nad serwerem.
Rekomendacja
Zaktualizuj wangmarket do wersji nowszej niż 6.4, jeśli dostępna, lub ogranicz dostęp do funkcji uploadImage i waliduj przesyłane pliki.
Inne podatności w wangmarket
Zobacz wszystkie- CVE-2025-15452Niskie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca funkcji variableList w pliku /admin/system/variableList.do komponentu Backend Variable Search. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
- CVE-2025-15451Niskie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca nieznanej funkcji w pliku /admin/system/variableSave.do komponentu System Variables Page. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
- CVE-2025-15416Niskie
W xnx3 wangmarket do wersji 6.4 wykryto podatność XSS w nieznanej funkcji pliku /siteVar/save.do (komponent Add Global Variable Handler). Manipulacja argumentem Remark/Variable Value prowadzi do cross-site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been found in xnx3 wangmarket up to 6.4. The impacted element is the function uploadImage of the file /sits/uploadImage.do of the component XML File Handler. The manipulation of the argument image leads to unrestricted upload. Remote exploitation of the attack is possible. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS