CVE-2025-41036
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W systemie appRain CMF w wersji 4.0.5 wykryto podatność na przechowywane XSS (Stored XSS) z powodu braku odpowiedniej walidacji danych wejściowych użytkownika w parametrach 'data[Admin][description]', 'data[Admin][f_name]' i 'data[Admin][l_name]' w ścieżce /apprain/admin/account/edit.
Ocena ryzyka
Uwierzytelniony atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach administratorów, co może prowadzić do przejęcia konta, kradzieży danych lub nieautoryzowanych działań w systemie.
Rekomendacja
Zaktualizuj appRain CMF do wersji, która zawiera poprawkę. Dodatkowo wdróż walidację i sanityzację danych wejściowych oraz ogranicz dostęp do panelu administracyjnego.
Inne podatności w appRain CMF
Zobacz wszystkie- CVE-2024-58279Wysokie
appRain CMF 4.0.5 zawiera podatność umożliwiającą zdalne wykonanie kodu przez uwierzytelnionego użytkownika. Administrator może przesłać złośliwy plik PHP poprzez endpoint filemanager, tworząc web shell z możliwością wykonania poleceń.
- CVE-2025-41052Średnie
Podatność na przechowywany (Stored) XSS w appRain CMF w wersji 4.0.5, wynikająca z braku walidacji danych wejściowych w parametrach 'data[Addon][layouts]' i 'data[Addon][layouts_except]' w ścieżce /apprain/developer/addons/update/canvasjs. Wymaga uwierzytelnienia.
- CVE-2025-41044Średnie
Podatność na przechowywany (Stored) XSS w appRain CMF w wersji 4.0.5, wynikająca z braku walidacji danych wejściowych w parametrze 'data[Page][name]' w ścieżce /apprain/page/manage-static-pages/create. Wymaga uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been discovered in appRain CMF version 4.0.5, consisting of a stored authenticated XSS due to a lack of proper validation of user input, through the 'data[Admin][description]', 'data[Admin][f_name]' and 'data[Admin][l_name]' parameters in /apprain/admin/account/edit.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS