CVE-2025-56304
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży sesji użytkownika, przekierowania do złośliwych stron lub wykonania innych działań w kontekście sesji ofiary, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację YzmCMS do wersji nowszej niż 7.3, która zawiera poprawkę usuwającą podatność. Jeśli aktualizacja nie jest możliwa, należy wdrożyć filtrowanie i sanityzację nagłówka referer na stronie rejestracji.
Inne podatności w YzmCMS
Zobacz wszystkie- CVE-2022-23383Krytyczne
YzmCMS v6.3 zawiera lukę w kontroli dostępu, która umożliwia nieautoryzowany dostęp do strony osobistej użytkownika bez logowania. Podatność wynika z braku prawidłowego uwierzytelnienia przed dostępem do strony domowej, co pozwala na przeglądanie stron innych użytkowników bez zalogowania.
- CVE-2026-75417Wysokie
Podatność SQL injection w YzmCMS 7.5 występuje w funkcji get_arrchildid() w pliku category.class.php. Parametr parentid jest bezpośrednio łączony z klauzulą SQL FIND_IN_SET() bez odpowiedniej sanityzacji, co pozwala zalogowanemu administratorowi na wykonanie dowolnych zapytań SQL przez ślepą iniekcję opartą na wartościach logicznych.
- CVE-2026-15202Średnie
W YzmCMS do wersji 7.5 wykryto podatność na atak XSS w funkcji get_url pliku /yzmphp/yzmphp.php. Manipulacja argumentem HTTP_HOST w komponencie Header Handler umożliwia zdalne wykonanie skryptu. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2026-13529Średnie
W YzmCMS do wersji 7.5 wykryto podatność SQL injection w pliku /application/install/index.php. Atak polega na manipulacji argumentem siteurl i może być przeprowadzony zdalnie, choć jest uznawany za trudny do wykorzystania. Exploit został publicznie ujawniony.
- CVE-2021-36712Średnie
Podatność Cross Site Scripting (XSS) w systemie yzmcms 6.1 umożliwia atakującym kradzież ciasteczek użytkowników poprzez funkcję przycinania obrazów.
Oryginalny opis (angielski, źródło NVD)
Cross-site scripting (XSS) vulnerability in YzmCMS thru 7.3 via the referer header in the register page.