CVE-2025-67436
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
W PluXml CMS 5.8.22 uwierzytelniony atakujący z dostępem do panelu administratora może przeprowadzić zdalne wykonanie kodu (RCE), wstrzykując złośliwy webshell PHP do pliku motywu, np. home.php.
Ocena ryzyka
Administrator lub osoba atakująca z przejętym kontem administratora może uzyskać pełną kontrolę nad serwerem WWW. Może to prowadzić do kradzieży danych, modyfikacji treści i dalszej ekspansji w sieci.
Rekomendacja
Zaktualizuj PluXml do wersji zawierającej poprawkę i ogranicz uprawnienia do edycji plików motywów. Wdróż monitorowanie integralności plików oraz silne uwierzytelnianie kont administracyjnych.
Inne podatności w PluXml CMS
Zobacz wszystkie- CVE-2026-24352Krytyczne
PluXml CMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem, co umożliwia atakującemu przejęcie sesji po uwierzytelnieniu. Identyfikator sesji pozostaje niezmienny po uwierzytelnieniu, co stwarza ryzyko przejęcia sesji przez osobę trzecią.
- CVE-2025-57567Krytyczne
W systemie PluXml CMS w edytorze motywów wykryto podatność umożliwiającą zdalne wykonanie kodu (RCE). Problem dotyczy pliku minify.php w domyślnym katalogu motywu, który może zostać nadpisany przez uwierzytelnionego administratora dowolnym kodem PHP.
Oryginalny opis (angielski, źródło NVD)
Authenticated Remote Code Execution (RCE) in PluXml CMS 5.8.22 allows an attacker with administrator panel access to inject a malicious PHP webshell into a theme file (e.g., home.php).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS