CVE-2025-65657
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
FeehiCMS w wersji 2.1.1 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez nieograniczone przesyłanie plików w module zarządzania reklamami. Uwierzytelniony zdalny atakujący może przesłać spreparowany plik PHP, który następnie zostanie wykonany przez serwer.
Ocena ryzyka
Atakujący z ważnym kontem może uzyskać zdalne wykonanie kodu na serwerze, co prowadzi do pełnego przejęcia aplikacji i potencjalnie całego hosta. Może to skutkować wyciekiem danych, modyfikacją treści lub dalszą eskalacją.
Rekomendacja
Zaktualizuj FeehiCMS do wersji zawierającej poprawkę, ogranicz możliwość przesyłania plików wykonywalnych oraz zweryfikuj uprawnienia kont administracyjnych.
Inne podatności w FeehiCMS
Zobacz wszystkie- CVE-2026-86239Średnie
W FeehiCMS do wersji 2.1.1 wykryto podatność w komponencie UEditor Widget, w funkcji UeditorAction::init pliku backend/widgets/ueditor/UeditorAction.php. Manipulacja prowadzi do nieograniczonego przesyłania plików. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-51953Wysokie
FeehiCMS w wersji 2.1.1 zawiera podatność w module zarządzania sesjami, logice uwierzytelniania i komponentach obsługi wylogowania, która pozwala atakującemu na eskalację uprawnień.
- CVE-2025-63523Średnie
FeehiCMS w wersji 2.1.1 nie wymusza niezmienności po stronie serwera dla parametrów prezentowanych klientom jako "tylko do odczytu". Uwierzytelniony atakujący może przechwycić i zmodyfikować parametr w tranzycie, a backend akceptuje zmiany, co może prowadzić do nieoczekiwanych zmian nazwy użytkownika.
- CVE-2025-63522Średnie
W FeehiCMS 2.1.1 występuje podatność Reverse Tabnabbing w funkcji Comments Management. Linki otwierane w nowej karcie mogą pozwolić na przejęcie kontroli nad kartą źródłową.
- CVE-2025-63520Średnie
Podatność typu Cross Site Scripting (XSS) w FeehiCMS 2.1.1 poprzez parametr id w funkcji aktualizacji użytkownika (?r=user%2Fupdate).
Oryginalny opis (angielski, źródło NVD)
FeehiCMS version 2.1.1 has a Remote Code Execution via Unrestricted File Upload in Ad Management. FeehiCMS version 2.1.1 allows authenticated remote attackers to upload files that the server later executes (or stores in an executable location) without sufficient validation, sanitization, or execution restrictions. An authenticated remote attacker can upload a crafted PHP file and cause the application or web server to execute it, resulting in remote code execution (RCE).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS