CVE-2025-61768

ŚrednieCVSS 5.1

Opublikowano: 06/10/2025(UTC)Zaktualizowano: 09/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 25 - wyżej niż 25% wszystkich znanych CVE

Streszczenie

W KUNO CMS przed wersją 1.3.15 istnieje podatność SSRF w module Media panelu administracyjnego. Zalogowany administrator może przesłać specjalnie spreparowany plik SVG z zewnętrznym odwołaniem do obrazu, co powoduje, że serwer inicjuje połączenie z dowolnym zewnętrznym adresem URL. Może to prowadzić do ujawnienia informacji lub skanowania sieci wewnętrznej. Wersja 1.3.15 zawiera poprawkę.

Ocena ryzyka

Atakujący administrator może wykorzystać SSRF do uzyskania dostępu do wewnętrznych zasobów sieciowych lub wykradzenia danych.

Rekomendacja

Należy zaktualizować KUNO CMS do wersji 1.3.15 lub nowszej oraz ograniczyć uprawnienia administratorów.

Inne podatności w KUNO CMS

CVE-2025-61681Średnie
KUNO CMS w wersjach 1.3.13 i niższych ma wady w funkcji przesyłania plików, które pozwalają na przechowywany XSS. Walidacja opiera się tylko na nagłówkach Content-Type, co umożliwia przesyłanie plików SVG ze złośliwymi skryptami. Problem naprawiono w wersji 1.3.14.

Oryginalny opis (angielski, źródło NVD)

KUNO CMS is a fully deployable full-stack blog application. In versions prior to 1.3.15, an SSRF (Server-Side Request Forgery) vulnerability exists in the Media module of the Kuno CMS administrative panel. A logged-in administrator can upload a specially crafted SVG file containing an external image reference, causing the server to initiate an outgoing connection to an arbitrary external URL. This can lead to information disclosure or internal network probing. Version 1.3.15 contains a fix for the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS