CVE-2025-25796
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W SeaCMS v13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_template.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje całkowite przejęcie kontroli nad serwerem, kradzież danych oraz możliwość dalszego rozprzestrzeniania ataku w sieci wewnętrznej.
Rekomendacja
Zaleca się natychmiastową aktualizację SeaCMS do najnowszej wersji oraz zastosowanie poprawek bezpieczeństwa. Należy również ograniczyć dostęp do panelu administracyjnego tylko dla zaufanych adresów IP.
Inne podatności w SeaCMS
Zobacz wszystkie- CVE-2026-85138Wysokie
W SeaCMS do wersji 13.6 wykryto podatność na wstrzykiwanie SQL w funkcji addslashes pliku weixin/index.php w module WeChat. Manipulacja argumentem Content umożliwia zdalny atak.
- CVE-2017-17561Wysokie
SeaCMS w wersji 6.56 pozwala zdalnie uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez spreparowane pole token w pliku admin/admin_ping.php, które współdziała z data/admin/ping.php.
- CVE-2024-54879Krytyczne
SeaCMS V13.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Błąd logiczny umożliwia atakującemu dowolne, nieograniczone doładowywanie kont członkowskich.
- CVE-2023-46010Krytyczne
W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2026-79423Wysokie
Podatność zdalnego wykonania kodu (RCE) w komponencie admin_config.php systemu seacms v13.6. Uwierzytelniony atakujący może wykonać dowolny kod poprzez spreparowane żądanie POST.
- CVE-2026-85137Wysokie
W SeaCMS do wersji 13.6 wykryto podatność na wstrzykiwanie kodu w funkcji parseIf pliku seacms_locoy_news.php w komponencie Locoy Collector. Manipulacja argumentem pwd prowadzi do wstrzyknięcia kodu, a atak może być przeprowadzony zdalnie.
- CVE-2026-82603Średnie
W SeaCMS do wersji 13.6 wykryto podatność na path traversal w pliku /member.php?action=del_pl w komponencie Comment Cache. Manipulacja argumentami itype/vid umożliwia zdalny atak. Exploit jest publiczny.
- CVE-2026-82602Średnie
W SeaCMS do wersji 13.6 wykryto podatność na obejście autoryzacji w pliku /ass.php. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-82601Średnie
W SeaCMS do wersji 13.6 wykryto podatność na cross-site scripting (XSS) w pliku /err.php. Manipulacja argumentem errtxt umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2026-82600Wysokie
Podatność w SeaCMS do wersji 13.6 w pliku /zyapi.php?ac=videolist pozwala na wstrzyknięcie SQL przez argument ids. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Oryginalny opis (angielski, źródło NVD)
SeaCMS v13.3 was discovered to contain a remote code execution (RCE) vulnerability via the component admin_template.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS