CVE-2025-15591
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W funkcji Forums w OpenText Content Management Content Server występuje podatność Cross-site Scripting (XSS). Złośliwy podmiot może wstrzyknąć złośliwy kod do strony internetowej forum.
Ocena ryzyka
Wstrzyknięcie złośliwego kodu do stron forum może prowadzić do kradzieży sesji lub danych użytkowników oraz do działań w ich imieniu. Może to naruszyć zaufanie do serwisu i bezpieczeństwo organizacji.
Rekomendacja
Zastosuj dostępne aktualizacje lub poprawki od OpenText dla funkcji Forums. W razie braku poprawki rozważ wyłączenie funkcji Forums do czasu jej zabezpieczenia.
Powiązane podatności
- CVE-2026-97854Krytyczne
Router bezprzewodowy Yamaha NWR100 zawiera podatność typu OS command injection, która pozwala na wykonanie dowolnych poleceń systemowych poprzez wysłanie specjalnie spreparowanego żądania do urządzenia.
- CVE-2026-115964Krytyczne
Wtyczka Motors (motors-car-dealership-classified-listings) firmy StylemixThemes zawiera podatność SQL Injection typu blind. Problem występuje w wersjach od początku do 1.4.126 włącznie.
- CVE-2026-114358Krytyczne
W platformie Radius Xenia M2M Platform występuje luka polegająca na niewystarczającej walidacji danych wejściowych w funkcji odzyskiwania hasła w interfejsie zarządzania. Nieuwierzytelniony zdalny atakujący może wysłać spreparowane zapytanie SQL przez pola formularza, co może prowadzić do nieautoryzowanego dostępu do danych, ujawnienia struktury bazy danych lub modyfikacji rekordów.
- CVE-2026-115245Krytyczne
Wtyczka WordPress Chat AI with Dispatcher przed wersją 2.4 nieprawidłowo waliduje przesyłane pliki, opierając się wyłącznie na podanym przez klienta typie zawartości, który można podszyć. Umożliwia to nieuwierzytelnionym atakującym przesłanie dowolnych plików, w tym PHP, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-113617Krytyczne
Wtyczka WordPress Automated Import Products to Cart przed wersją 1.0.4 nie sanityzuje ścieżki pliku podanej przez użytkownika przed użyciem jej do odczytu i usuwania plików. Umożliwia to użytkownikom z minimalnymi uprawnieniami, takimi jak subskrybent, odczyt dowolnych plików (w tym zawierających dane uwierzytelniające do bazy danych) i usuwanie dowolnych plików na serwerze.
- CVE-2026-113616Krytyczne
Wtyczka WordPress LogixFast Auth przed wersją 1.0.4 nie dostarcza jednorazowego kodu resetowania hasła na adres e-mail przypisanego konta, lecz wysyła go na adres podany w żądaniu. Umożliwia to nieuwierzytelnionym atakującym zresetowanie hasła dowolnego użytkownika, w tym administratora, i przejęcie konta.
- CVE-2026-103693Krytyczne
Wtyczki WordPress Frontend Dashboard w wersji przed 3.0.5 oraz ProfileGrid w wersji przed 6.0.0.5 nie zapobiegają przechowywaniu przez nieuwierzytelnionego użytkownika serializowanego obiektu PHP w metadanych użytkownika, który jest deserializowany podczas wyświetlania publicznego profilu. Umożliwia to wstrzyknięcie obiektu PHP, co może prowadzić do dowolnego zapisu pliku i potencjalnego zdalnego wykonania kodu.
- CVE-2026-42922Krytyczne
W FUXA (wersja 1.3.2-2809) występuje luka polegająca na obejściu autoryzacji w funkcjonalności /nodered. Specjalnie spreparowane żądanie HTTP może doprowadzić do wykonania dowolnego kodu, a atakujący może je wysłać bez uwierzytelnienia.
- CVE-2026-109516Krytyczne
Wtyczka Bot for Telegram on WooCommerce (do wersji 1.3.0) jest podatna na obejście uwierzytelniania prowadzące do przejęcia konta. Endpoint REST /wp-json/woo-telegram/v1/main/ nie weryfikuje podpisu webhooka i pozwala nieuwierzytelnionemu atakującemu na podszycie się pod dowolnego użytkownika WordPress, w tym administratora, znając jedynie jego nazwę logowania.
- CVE-2026-66088Krytyczne
W openEQUELLA przed wersją 2026.1 funkcja system.execute() dostępna w silniku skryptów uruchamia dostarczone polecenia systemu operacyjnego bez walidacji ani listy dozwolonych programów. Użytkownik mogący tworzyć lub edytować skrypty może wykonać dowolne polecenia z uprawnieniami konta usługi openEQUELLA.
Oryginalny opis (angielski, źródło NVD)
Cross-site Scripting (XSS) in the Forums feature of OpenText Content Management Content Server could allow a bad actor to inject malicious code into a Forums web page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS