CVE-2025-60837
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
W MCMS v6.0.1 wykryto podatność na odbity cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez spreparowany atak.
Ocena ryzyka
Atakujący może przejąć sesję użytkownika, wykraść dane uwierzytelniające lub przeprowadzić inne złośliwe działania w kontekście przeglądarki ofiary.
Rekomendacja
Należy natychmiast zaktualizować MCMS do najnowszej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się walidację i sanityzację wszystkich danych wejściowych.
Inne podatności w MCMS
Zobacz wszystkie- CVE-2025-29287Krytyczne
W komponencie ueditor systemu MCMS w wersji 5.4.3 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2026-68000Niskie ryzyko· EPSS 5%
Interfejs /cms/category/list w MCMS <=6.2.0 jest podatny na wstrzykiwanie SQL. Parametr size jest bezpośrednio łączony z klauzulą LIMIT przez FreeMarker ${size} bez parametryzacji. Filtr SqlInjectionUtil nie blokuje słów kluczowych takich jak CREATE/TABLE/SET/PREPARE/EXECUTE, co pozwala na obejście i wykonanie złożonych zapytań SQL bez logowania.
- CVE-2026-52203Wysokie
Podatność w MCMS w wersji 6.1.1 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr source.
- CVE-2025-60838Średnie
W MCMS v6.0.1 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
Oryginalny opis (angielski, źródło NVD)
A reflected cross-site scripting (XSS) vulnerability in MCMS v6.0.1 allows attackers to execute arbitrary Javascript in the context of a user's browser via a crafted payload.