CVE-2025-15451
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca nieznanej funkcji w pliku /admin/system/variableSave.do komponentu System Variables Page. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
Ocena ryzyka
Atak XSS może umożliwić wykonanie złośliwego skryptu w kontekście aplikacji, co może prowadzić do kradzieży danych lub przejęcia sesji administratora.
Rekomendacja
Należy zaktualizować wangmarket do najnowszej wersji, jeśli dostępna, lub zastosować inne środki zaradcze, takie jak walidacja wejścia.
Inne podatności w wangmarket
Zobacz wszystkie- CVE-2025-15452Niskie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca funkcji variableList w pliku /admin/system/variableList.do komponentu Backend Variable Search. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
- CVE-2025-15416Niskie
W xnx3 wangmarket do wersji 6.4 wykryto podatność XSS w nieznanej funkcji pliku /siteVar/save.do (komponent Add Global Variable Handler). Manipulacja argumentem Remark/Variable Value prowadzi do cross-site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-15415Średnie
W systemie wangmarket (do wersji 6.4) wykryto podatność na nieograniczone przesyłanie plików w funkcji uploadImage w pliku /sits/uploadImage.do. Manipulacja argumentem image umożliwia zdalne wykorzystanie.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in xnx3 wangmarket up to 4.9. Affected by this issue is some unknown functionality of the file /admin/system/variableSave.do of the component System Variables Page. Performing a manipulation of the argument Description results in cross site scripting. The attack may be initiated remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS