CVE-2025-15416
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W xnx3 wangmarket do wersji 6.4 wykryto podatność XSS w nieznanej funkcji pliku /siteVar/save.do (komponent Add Global Variable Handler). Manipulacja argumentem Remark/Variable Value prowadzi do cross-site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce użytkownika, kradnąc sesje lub wykonując działania w imieniu ofiary. Vendor nie odpowiedział na zgłoszenie, co zwiększa ryzyko.
Rekomendacja
Zaktualizuj wangmarket do wersji nowszej niż 6.4, jeśli będzie dostępna, lub wprowadź walidację i sanityzację danych wejściowych dla argumentów Remark/Variable Value. Rozważ wdrożenie nagłówków CSP.
Inne podatności w wangmarket
Zobacz wszystkie- CVE-2025-15452Niskie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca funkcji variableList w pliku /admin/system/variableList.do komponentu Backend Variable Search. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
- CVE-2025-15451Niskie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca nieznanej funkcji w pliku /admin/system/variableSave.do komponentu System Variables Page. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
- CVE-2025-15415Średnie
W systemie wangmarket (do wersji 6.4) wykryto podatność na nieograniczone przesyłanie plików w funkcji uploadImage w pliku /sits/uploadImage.do. Manipulacja argumentem image umożliwia zdalne wykorzystanie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in xnx3 wangmarket up to 6.4. This affects an unknown function of the file /siteVar/save.do of the component Add Global Variable Handler. The manipulation of the argument Remark/Variable Value results in cross site scripting. The attack can be executed remotely. The exploit has been made public and could be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS