CVE-2025-52206
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W ISPConfig 3.3.0 wykryto podatność na atak typu Cross Site Scripting (XSS) na stronie statusu systemu. Umożliwia ona wstrzyknięcie złośliwego skryptu do przeglądarki administratora.
Ocena ryzyka
Atakujący może przejąć sesję administratora, wykraść dane uwierzytelniające lub wykonać nieautoryzowane działania w panelu zarządzania hostingiem.
Rekomendacja
Zaleca się natychmiastową aktualizację ISPConfig do najnowszej wersji oraz zastosowanie filtrów wejściowych dla danych wyświetlanych na stronie statusu systemu.
Inne podatności w ISPConfig
Zobacz wszystkie- CVE-2017-17384Wysokie
ISPConfig w wersjach 3.x przed 3.1.9 umożliwia zdalnym uwierzytelnionym użytkownikom uzyskanie dostępu do konta root poprzez stworzenie odpowiednio skonstruowanego zadania cron.
- CVE-2026-61518Wysokie
ISPConfig zawiera podatność na wstrzykiwanie SQL w Remote API. Parametr primary_id w metodach delete i update jest bezpośrednio konkatenowany do klauzul WHERE bez rzutowania na liczbę całkowitą lub parametryzacji. Użytkownik API z dowolnym niskim uprawnieniem może wstrzyknąć dowolny SQL, usuwać lub modyfikować rekordy we wszystkich dzierżawach oraz wyodrębniać dane, w tym hashe haseł.
Oryginalny opis (angielski, źródło NVD)
ISPConfig 3.3.0 is vulnerable to Cross Site Scripting (XSS) via the system status webpage.