CVE-2025-62802
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
DNN (dawniej DotNetNuke) przed wersją 10.1.1 pozwala niezalogowanym użytkownikom na przesyłanie plików w domyślnym środowisku edycji HTML. Otwiera to potencjalny wektor do innych problemów bezpieczeństwa i nie jest potrzebne w większości wdrożeń. Podatność została naprawiona w wersji 10.1.1.
Ocena ryzyka
Niezalogowani użytkownicy mogą przesyłać pliki, co może prowadzić do umieszczenia złośliwych plików na serwerze, a następnie do dalszych ataków, takich jak wykonanie kodu lub przejęcie kontroli nad stroną.
Rekomendacja
Zaktualizuj DNN do wersji 10.1.1 lub nowszej, która zawiera poprawkę. Dodatkowo sprawdź konfigurację uprawnień do przesyłania plików i ogranicz dostęp do funkcji edycji HTML.
Inne podatności w DNN
Zobacz wszystkie- CVE-2025-64094Średnie
Niedostateczna sanityzacja zawartości przesyłanych plików SVG w DNN (DotNetNuke) przed wersją 10.1.1. Jest to niekompletna poprawka dla CVE-2025-48378, która nie obejmuje wszystkich scenariuszy XSS.
- CVE-2025-59539Średnie
DNN (dawniej DotNetNuke), otwartoźródłowa platforma CMS dla ekosystemu Microsoft, w wersjach przed 10.1.0 pozwalała użytkownikom na wstrzyknięcie kodu JavaScript w polu Biography, nawet jeśli nie było to pole rich-text. Wstrzyknięty kod wykonywał się w kontekście witryny u każdego użytkownika przeglądającego profil, w tym administratorów i superużytkowników. Problem został naprawiony w wersji 10.1.0.
Oryginalny opis (angielski, źródło NVD)
DNN (formerly DotNetNuke) is an open-source web content management platform (CMS) in the Microsoft ecosystem. Prior to 10.1.1, the out-of-box experience for HTML editing allows unauthenticated users to upload files. This opens a potential vector to other security issues and is not needed on most implementations. This vulnerability is fixed in 10.1.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS