CVE-2025-70397
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie jizhicms 2.5.6 wykryto podatność na iniekcję SQL w funkcjach Article/deleteAll oraz Extmolds/deleteAll poprzez parametr data. Atakujący może wstrzyknąć złośliwe zapytania SQL, co prowadzi do nieautoryzowanego dostępu do bazy danych.
Ocena ryzyka
Ryzyko obejmuje potencjalny wyciek wrażliwych danych, modyfikację lub usunięcie rekordów w bazie danych, co może zakłócić działanie aplikacji i narazić organizację na straty finansowe oraz reputacyjne.
Rekomendacja
Należy natychmiast zaktualizować system jizhicms do najnowszej wersji, która zawiera poprawki bezpieczeństwa. Jeśli aktualizacja nie jest dostępna, należy zastosować walidację i sanityzację parametru data w wymienionych funkcjach.
Inne podatności w jizhicms
Zobacz wszystkie- CVE-2025-25785Krytyczne
W JizhiCMS v2.5.4 wykryto podatność na fałszowanie żądań po stronie serwera (SSRF) w komponencie \c\PluginsController.php. Umożliwia ona atakującemu skanowanie sieci wewnętrznej poprzez spreparowane żądanie.
- CVE-2025-25784Krytyczne
W Jizhicms v2.5.4 w komponencie TemplateController.php wykryto podatność na dowolne przesyłanie plików. Atakujący może przesłać spreparowany plik ZIP, co umożliwia zdalne wykonanie kodu na serwerze.
- CVE-2024-32161Krytyczne
JizhiCMS 2.5 zawiera podatność umożliwiającą wgrywanie plików bez odpowiedniej walidacji. Atakujący może przesłać złośliwy plik, co może prowadzić do zdalnego wykonania kodu.
- CVE-2020-21228Średnie
W JIZHICMS 1.5.1 w komponencie /user/release.html występuje podatność na atak XSS, która umożliwia atakującemu dowolne dodanie ciasteczka administratora.
Oryginalny opis (angielski, źródło NVD)
jizhicms 2.5.6 is vulnerable to SQL Injection in Article/deleteAll and Extmolds/deleteAll via the data parameter.