CVE-2025-59545
KrytyczneCVSS 9.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Moduł Prompt w DNN (DotNetNuke) przed wersją 10.1.0 umożliwia wykonanie poleceń, które mogą zwracać surowy HTML. Złośliwe dane wejściowe, nawet jeśli są sanityzowane do wyświetlania, mogą zostać wykonane podczas przetwarzania przez niektóre polecenia, prowadząc do potencjalnego wykonania skryptów (XSS). Problem naprawiono w wersji 10.1.0.
Ocena ryzyka
Atakujący może wykorzystać XSS do kradzieży sesji, modyfikacji treści lub wykonania nieautoryzowanych akcji w kontekście zalogowanego użytkownika.
Rekomendacja
Zaktualizuj DNN do wersji 10.1.0 lub nowszej, która zawiera poprawkę. Dodatkowo stosuj środki ochrony przed XSS, takie jak nagłówki CSP.
Inne podatności w DNN (DotNetNuke)
Zobacz wszystkie- CVE-2018-18325WysokieAktywnie exploitowane
DNN (DotNetNuke) w wersjach 9.2 do 9.2.2 używa słabego algorytmu szyfrowania do ochrony parametrów wejściowych. Uwaga: problem istnieje z powodu niepełnej poprawki dla CVE-2018-15811.
- CVE-2018-15811WysokieAktywnie exploitowane
DNN (DotNetNuke) w wersjach 9.2 do 9.2.1 używa słabego algorytmu szyfrowania do ochrony parametrów wejściowych.
Oryginalny opis (angielski, źródło NVD)
DNN (formerly DotNetNuke) is an open-source web content management platform (CMS) in the Microsoft ecosystem. Prior to version 10.1.0, the Prompt module allows execution of commands that can return raw HTML. Malicious input, even if sanitized for display elsewhere, can be executed when processed through certain commands, leading to potential script execution (XSS). This issue has been patched in version 10.1.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS