CVE-2025-15452
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca funkcji variableList w pliku /admin/system/variableList.do komponentu Backend Variable Search. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
Ocena ryzyka
Atak XSS może umożliwić wykonanie złośliwego skryptu w kontekście aplikacji, co może prowadzić do kradzieży danych lub przejęcia sesji administratora.
Rekomendacja
Należy zaktualizować wangmarket do najnowszej wersji, jeśli dostępna, lub zastosować inne środki zaradcze, takie jak walidacja wejścia.
Inne podatności w wangmarket
Zobacz wszystkie- CVE-2025-15451Niskie
Podatność w produkcie xnx3 wangmarket do wersji 4.9, dotycząca nieznanej funkcji w pliku /admin/system/variableSave.do komponentu System Variables Page. Manipulacja argumentem Description prowadzi do cross-site scripting (XSS). Atak może być wykonany zdalnie. Exploit został publicznie udostępniony.
- CVE-2025-15416Niskie
W xnx3 wangmarket do wersji 6.4 wykryto podatność XSS w nieznanej funkcji pliku /siteVar/save.do (komponent Add Global Variable Handler). Manipulacja argumentem Remark/Variable Value prowadzi do cross-site scripting. Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-15415Średnie
W systemie wangmarket (do wersji 6.4) wykryto podatność na nieograniczone przesyłanie plików w funkcji uploadImage w pliku /sits/uploadImage.do. Manipulacja argumentem image umożliwia zdalne wykorzystanie.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in xnx3 wangmarket up to 4.9. This affects the function variableList of the file /admin/system/variableList.do of the component Backend Variable Search. Executing a manipulation of the argument Description can lead to cross site scripting. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS