CVE-2025-63523
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
FeehiCMS w wersji 2.1.1 nie wymusza niezmienności po stronie serwera dla parametrów prezentowanych klientom jako "tylko do odczytu". Uwierzytelniony atakujący może przechwycić i zmodyfikować parametr w tranzycie, a backend akceptuje zmiany, co może prowadzić do nieoczekiwanych zmian nazwy użytkownika.
Ocena ryzyka
Uwierzytelniony atakujący może zmienić nazwę użytkownika, co może prowadzić do naruszenia integralności danych lub eskalacji uprawnień w systemie.
Rekomendacja
Należy zapewnić, że parametry oznaczone jako tylko do odczytu są niezmienne po stronie serwera, na przykład poprzez ponowną weryfikację lub odrzucanie zmian, oraz rozważyć aktualizację do wersji, która naprawia tę podatność.
Inne podatności w FeehiCMS
Zobacz wszystkie- CVE-2026-86239Średnie
W FeehiCMS do wersji 2.1.1 wykryto podatność w komponencie UEditor Widget, w funkcji UeditorAction::init pliku backend/widgets/ueditor/UeditorAction.php. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-51953Wysokie
FeehiCMS w wersji 2.1.1 zawiera podatność w module zarządzania sesjami, logice uwierzytelniania i komponentach obsługi wylogowania, która pozwala atakującemu na eskalację uprawnień.
- CVE-2025-65657Średnie
FeehiCMS w wersji 2.1.1 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez nieograniczone przesyłanie plików w module zarządzania reklamami. Uwierzytelniony zdalny atakujący może przesłać spreparowany plik PHP, który następnie zostanie wykonany przez serwer.
- CVE-2025-63522Średnie
W FeehiCMS 2.1.1 występuje podatność Reverse Tabnabbing w funkcji Comments Management. Linki otwierane w nowej karcie mogą pozwolić na przejęcie kontroli nad kartą źródłową.
- CVE-2025-63520Średnie
Podatność typu Cross Site Scripting (XSS) w FeehiCMS 2.1.1 poprzez parametr id w funkcji aktualizacji użytkownika (?r=user%2Fupdate).
Oryginalny opis (angielski, źródło NVD)
FeehiCMS version 2.1.1 fails to enforce server-side immutability for parameters that are presented to clients as "read-only." An authenticated attacker can intercept and modify the parameter in transit and the backend accepts the changes. This can lead to unintended username changes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS