CVE-2025-41052
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność na przechowywany (Stored) XSS w appRain CMF w wersji 4.0.5, wynikająca z braku walidacji danych wejściowych w parametrach 'data[Addon][layouts]' i 'data[Addon][layouts_except]' w ścieżce /apprain/developer/addons/update/canvasjs. Wymaga uwierzytelnienia.
Ocena ryzyka
Uwierzytelniony atakujący może wstrzyknąć trwały skrypt, który wykona się w kontekście innych użytkowników, umożliwiając kradzież danych lub przejęcie sesji.
Rekomendacja
Zaktualizuj appRain CMF do wersji zawierającej poprawkę lub zastosuj odpowiednie filtry walidacji danych wejściowych dla wskazanych parametrów.
Inne podatności w appRain CMF
Zobacz wszystkie- CVE-2024-58279Wysokie
appRain CMF 4.0.5 zawiera podatność umożliwiającą zdalne wykonanie kodu przez uwierzytelnionego użytkownika. Administrator może przesłać złośliwy plik PHP poprzez endpoint filemanager, tworząc web shell z możliwością wykonania poleceń.
- CVE-2025-41044Średnie
Podatność na przechowywany (Stored) XSS w appRain CMF w wersji 4.0.5, wynikająca z braku walidacji danych wejściowych w parametrze 'data[Page][name]' w ścieżce /apprain/page/manage-static-pages/create. Wymaga uwierzytelnienia.
- CVE-2025-41036Średnie
W systemie appRain CMF w wersji 4.0.5 wykryto podatność na przechowywane XSS (Stored XSS) z powodu braku odpowiedniej walidacji danych wejściowych użytkownika w parametrach 'data[Admin][description]', 'data[Admin][f_name]' i 'data[Admin][l_name]' w ścieżce /apprain/admin/account/edit.
Oryginalny opis (angielski, źródło NVD)
A vulnerability has been discovered in appRain CMF version 4.0.5, consisting of a stored authenticated XSS due to a lack of proper validation of user input, through the 'data[Addon][layouts]' and 'data[Addon][layouts_except]' parameters in /apprain/developer/addons/update/canvasjs.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS