CVE-2025-67349
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W FluentCMS 1.2.3 zidentyfikowano lukę cross-site scripting (XSS). Po zalogowaniu jako administrator i przejściu do funkcji "Add Page" aplikacja nie sanityzuje poprawnie danych wejściowych w sekcji <head>, co pozwala zdalnym atakującym na wstrzyknięcie dowolnych tagów script.
Ocena ryzyka
XSS może pozwolić atakującym na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary, kradzież ciasteczek sesyjnych lub przejęcie konta. Może to prowadzić do pełnej kompromitacji aplikacji.
Rekomendacja
Zaktualizuj FluentCMS do najnowszej wersji, jeśli jest dostępna, lub zastosuj poprawki sanityzujące dane wejściowe. Wdroż nagłówki CSP i walidację po stronie serwera.
Inne podatności w FluentCMS
Zobacz wszystkie- CVE-2026-86271Średnie
Podatność braku autoryzacji w FluentCMS do wersji 0.0.5, dotycząca funkcji GetAccessible w pliku PermissionManager.cs. Manipulacja prowadzi do braku autoryzacji. Atak może być wykonany zdalnie, exploit jest publiczny.
- CVE-2026-11434Niskie
W FluentCMS 0.0.5 wykryto podatność w nieznanej funkcji pliku /admin/blocks w komponencie Blocks Plugin. Manipulacja prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie. Exploit został opublikowany.
- CVE-2026-38947Średnie
FluentCMS 1.2.3 zawiera podatność na atak XSS w pluginie TextHTML. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
A cross-site scripting (XSS) vulnerability was identified in FluentCMS 1.2.3. After logging in as an admin and navigating to the "Add Page" function, the application fails to properly sanitize input in the <head> section, allowing remote attackers to inject arbitrary script tags.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS