CVE-2025-57130

WysokieCVSS 8.3

Opublikowano: 05/11/2025(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.36%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Podatność w komponencie zarządzania użytkownikami ZwiiCMS do wersji 13.6.07 umożliwia zdalnemu, uwierzytelnionemu atakującemu eskalację uprawnień. Wysyłając specjalnie spreparowane żądanie HTTP, użytkownik o niskich uprawnieniach może uzyskać dostęp i modyfikować dane profilu dowolnego innego użytkownika, w tym administratorów.

Ocena ryzyka

Ryzyko polega na możliwości przejęcia konta administratora przez atakującego z niskimi uprawnieniami, co może prowadzić do pełnej kompromitacji systemu CMS i danych w nim przechowywanych.

Rekomendacja

Zaleca się natychmiastową aktualizację ZwiiCMS do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do panelu administracyjnego tylko do zaufanych adresów IP.

Inne podatności w ZwiiCMS

CVE-2025-34467Średnie
ZwiiCMS w wersjach przed 13.7.00 zawiera podatność na odmowę usługi w wielu punktach administracyjnych. Wynika ona z nieprawidłowej kontroli autoryzacji połączonej z błędnym zarządzaniem stanem zasobów.

Oryginalny opis (angielski, źródło NVD)

An Incorrect Access Control vulnerability in the user management component of ZwiiCMS up to v13.6.07 allows a remote, authenticated attacker to escalate their privileges. By sending a specially crafted HTTP request, a low-privilege user can access and modify the profile data of any other user, including administrators.