CVE-2025-46041
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W Anchor CMS v0.12.7 wykryto podatność na trwałe XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript przez pole opisu strony w interfejsie dodawania strony (/admin/pages/add).
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego skryptu w przeglądarkach administratorów, co może prowadzić do kradzieży sesji, defacementu lub przejęcia panelu administracyjnego.
Rekomendacja
Należy zaktualizować Anchor CMS do najnowszej wersji, w której załatano tę podatność, oraz zastosować walidację i kodowanie danych wejściowych dla pól opisu strony.
Inne podatności w Anchor CMS
Zobacz wszystkie- CVE-2026-88959Wysokie
Anchor CMS do wersji 0.12.7 włącznie nie egzekwuje kontroli dostępu opartej na rolach w endpointach zarządzania użytkownikami w panelu administracyjnym. Każdy uwierzytelniony użytkownik o niskich uprawnieniach może bezpośrednio wysłać żądanie POST do admin/users/add lub admin/users/edit, aby utworzyć konto administratora lub zmienić hasło istniejącego administratora.
- CVE-2015-5687Wysokie
W systemie Anchor CMS w wersji 0.9.x występuje podatność, która pozwala zdalnym atakującym na przeprowadzenie ataków typu PHP object injection. Atakujący mogą wykonać dowolny kod PHP poprzez odpowiednio skonstruowany zserializowany obiekt w ciasteczku.
Oryginalny opis (angielski, źródło NVD)
A stored cross-site scripting (XSS) vulnerability in Anchor CMS v0.12.7 allows attackers to inject malicious JavaScript via the page description field in the page creation interface (/admin/pages/add).