CVE-2025-60838
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W MCMS v6.0.1 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia kontroli nad serwerem przez atakującego, co może prowadzić do kradzieży danych, modyfikacji treści lub całkowitego przejęcia systemu.
Rekomendacja
Należy natychmiast zaktualizować MCMS do najnowszej wersji, która usuwa tę podatność. W międzyczasie ogranicz dostęp do funkcji przesyłania plików tylko dla zaufanych użytkowników.
Inne podatności w MCMS
Zobacz wszystkie- CVE-2025-29287Krytyczne
W komponencie ueditor systemu MCMS w wersji 5.4.3 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2026-68000Niskie ryzyko· EPSS 5%
Interfejs /cms/category/list w MCMS <=6.2.0 jest podatny na wstrzykiwanie SQL. Parametr size jest bezpośrednio łączony z klauzulą LIMIT przez FreeMarker ${size} bez parametryzacji. Filtr SqlInjectionUtil nie blokuje słów kluczowych takich jak CREATE/TABLE/SET/PREPARE/EXECUTE, co pozwala na obejście i wykonanie złożonych zapytań SQL bez logowania.
- CVE-2026-52203Wysokie
Podatność w MCMS w wersji 6.1.1 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr source.
- CVE-2025-60837Średnie
W MCMS v6.0.1 wykryto podatność na odbity cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez spreparowany atak.
Oryginalny opis (angielski, źródło NVD)
An arbitrary file upload vulnerability in MCMS v6.0.1 allows attackers to execute arbitrary code via uploading a crafted file.