CVE-2025-64050
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 62 - wyżej niż 62% wszystkich znanych CVE
Streszczenie
W REDAXO CMS 5.20.0 w komponencie zarządzania szablonami występuje podatność zdalnego wykonania kodu (RCE). Uwierzytelniony administrator może wstrzyknąć kod PHP do aktywnego szablonu, a ładunek wykonuje się, gdy odwiedzający uzyskują dostęp do stron frontendowych korzystających z tego szablonu.
Ocena ryzyka
Przejęcie konta administratora CMS prowadzi do wykonania dowolnych poleceń systemowych na serwerze, co może skutkować pełnym kompromitem hostingu i wyciekiem danych.
Rekomendacja
Zaktualizuj REDAXO CMS do wersji zawierającej poprawkę, ogranicz uprawnienia administracyjne i weryfikuj integralność szablonów.
Inne podatności w REDAXO CMS
Zobacz wszystkie- CVE-2016-20053Średnie
Redaxo CMS 5.2 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia nieuwierzytelnionym atakującym tworzenie kont administracyjnych poprzez nakłonienie uwierzytelnionych administratorów do odwiedzenia złośliwych stron. Atakujący mogą przygotować formularze HTML kierujące do punktu końcowego użytkowników z ukrytymi polami zawierającymi dane uwierzytelniające i parametry konta, aby dodać nowe konto administratora bez zgody użytkownika.
- CVE-2025-64049Średnie
W REDAXO CMS 5.20.0 w komponencie zarządzania modułami występuje podatność typu stored XSS. Zdalni użytkownicy mogą wstrzyknąć dowolny skrypt lub HTML poprzez pole Output code w modułach; ładunek jest wykonywany, gdy użytkownik przegląda lub edytuje artykuł, dodając slice korzystający ze zmodyfikowanego modułu.
Oryginalny opis (angielski, źródło NVD)
A Remote Code Execution (RCE) vulnerability in the template management component in REDAXO CMS 5.20.0 allows remote authenticated administrators to execute arbitrary operating system commands by injecting PHP code into an active template. The payload is executed when visitors access frontend pages using the compromised template.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS