CVE-2025-65271
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność typu client-side template injection (CSTI) w panelu administracyjnym Azuriom CMS pozwala użytkownikowi o niskich uprawnieniach na wykonanie dowolnego kodu szablonu w kontekście sesji administratora. Może to nastąpić poprzez wtyczki lub komponenty panelu renderujące niezaufane dane wejściowe, co potencjalnie umożliwia eskalację uprawnień do konta administracyjnego. Naprawiono w Azuriom 1.2.7.
Ocena ryzyka
Niski uprawnieniami użytkownik może przejąć konto administratora i uzyskać pełną kontrolę nad systemem CMS. Prowadzi to do poważnego naruszenia bezpieczeństwa i możliwości modyfikacji lub kradzieży danych.
Rekomendacja
Zaktualizuj Azuriom CMS do wersji 1.2.7 lub nowszej oraz przejrzyj wtyczki i komponenty panelu pod kątem renderowania niezaufanych danych wejściowych.
Inne podatności w Azuriom CMS
Zobacz wszystkie- CVE-2026-19975Niskie
W Azuriom CMS do wersji 1.2.12 wykryto słabość w funkcji transferMoney pliku app/Http/Controllers/ProfileController.php komponentu Money Transfer Handler. Manipulacja prowadzi do błędu typu time-of-check time-of-use. Atak może być inicjowany zdalnie, ale wymaga wysokiej złożoności.
- CVE-2026-54415Wysokie
Brak autoryzacji w trasach zarządzania serwerem w Azuriom CMS przed wersją 1.2.11 pozwala uwierzytelnionemu atakującemu z uprawnieniami admin.access na tworzenie tokenów serwera AzLink oraz przejmowanie kont użytkowników niebędących administratorami poprzez zmianę ich haseł i adresów e-mail.
Oryginalny opis (angielski, źródło NVD)
Client-side template injection (CSTI) in Azuriom CMS admin dashboard allows a low-privilege user to execute arbitrary template code in the context of an administrator's session. This can occur via plugins or dashboard components that render untrusted user input, potentially enabling privilege escalation to an administrative account. Fixed in Azuriom 1.2.7.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS