CVE-2025-25790
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
W systemie FoxCMS w wersji 1.2.5 wykryto podatność polegającą na dowolnym przesyłaniu plików w komponencie LocalTemplate.php. Atakujący może przesłać spreparowany plik ZIP, co umożliwia wykonanie dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem WWW, kradzież danych, modyfikację treści oraz wykorzystanie serwera do dalszych ataków.
Rekomendacja
Należy natychmiast zaktualizować FoxCMS do najnowszej dostępnej wersji oraz wdrożyć walidację typów plików i ograniczenia dotyczące przesyłania archiwów ZIP.
Inne podatności w FoxCMS
Zobacz wszystkie- CVE-2025-25789Krytyczne
W systemie FoxCMS w wersji 1.2.5 wykryto podatność zdalnego wykonania kodu (RCE) w metodzie index() w pliku \controller\Sitemap.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
- CVE-2026-9608Niskie
Podatność w QianFox FoxCMS do wersji 1.2.6. Nieznana funkcja w pliku /Tag/edit w panelu administratora jest podatna na atak XSS. Atak może być przeprowadzony zdalnie.
- CVE-2025-55422Wysokie
W FoxCMS 1.2.6 wykryto podatność na odbity atak XSS w skrypcie /index.php/plus. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez spreparowane żądanie HTTP.
- CVE-2025-55409Wysokie
W FoxCMS 1.2.6 w skrypcie /index.php/article występuje podatność na atak typu Cross Site Scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in the component \controller\LocalTemplate.php of FoxCMS v1.2.5 allows attackers to execute arbitrary code via uploading a crafted Zip file.