CVE-2025-70364

WysokieCVSS 8.8

Opublikowano: 09/04/2026(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W Kiamo przed wersją 8.4 uwierzytelniony atakujący z uprawnieniami administratora może wykonać dowolny kod PHP na serwerze. Producent twierdzi, że jest to zamierzona funkcja administracyjna, ale w wersji 8.4 dodano ograniczenia dla niektórych funkcji PHP.

Ocena ryzyka

Ryzyko polega na możliwości pełnego przejęcia serwera przez administratora, co może prowadzić do kradzieży danych, modyfikacji systemu lub dalszych ataków wewnątrz sieci.

Rekomendacja

Zaleca się natychmiastową aktualizację Kiamo do wersji 8.4 lub nowszej oraz ograniczenie dostępu administracyjnego tylko do zaufanych użytkowników.

Inne podatności w Kiamo

CVE-2025-70365Średnie
W systemie Kiamo przed wersją 8.4 wykryto podatność na trwały atak XSS (stored cross-site scripting). Wynika ona z nieprawidłowego kodowania danych wejściowych użytkownika w interfejsach administracyjnych. Uwierzytelniony użytkownik administracyjny może wstrzyknąć dowolny kod JavaScript, który zostanie wykonany w przeglądarkach innych użytkowników przeglądających dotknięte strony.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Kiamo before 8.4 allowing authenticated administrative attackers to execute arbitrary PHP code on the server. NOTE: the Supplier's position is that this is "a historical and intended administrative feature of the product, accessible only to already authenticated users explicitly granted administrator privileges." However, restrictions on some PHP functions were added in 8.4.