CVE-2025-70842
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W module File Management aplikacji FluentCMS 1.2.3 odkryto podatność Stored Cross-Site Scripting (XSS). Uwierzytelniony administrator może przesłać spreparowane pliki SVG zawierające złośliwy kod JavaScript, który następnie wykonuje się w przeglądarce każdego użytkownika uzyskującego dostęp do bezpośredniego URL obrazu, w tym niezalogowanych odwiedzających.
Ocena ryzyka
Złośliwy skrypt może wykonać się w przeglądarkach wielu użytkowników, w tym niezalogowanych, co może prowadzić do kradzieży sesji, danych lub wykonania działań w imieniu ofiar.
Rekomendacja
Zaktualizuj FluentCMS do wersji zawierającej poprawkę lub wdróż walidację i sanityzację przesyłanych plików SVG oraz ogranicz możliwość ich wykonywania.
Inne podatności w FluentCMS
Zobacz wszystkie- CVE-2026-86271Średnie
Podatność braku autoryzacji w FluentCMS do wersji 0.0.5, dotycząca funkcji GetAccessible w pliku PermissionManager.cs. Manipulacja prowadzi do braku autoryzacji. Atak może być wykonany zdalnie, exploit jest publiczny.
- CVE-2026-11434Niskie
W FluentCMS 0.0.5 wykryto podatność w nieznanej funkcji pliku /admin/blocks w komponencie Blocks Plugin. Manipulacja prowadzi do cross-site scripting (XSS). Atak może być przeprowadzony zdalnie. Exploit został opublikowany.
- CVE-2026-38947Średnie
FluentCMS 1.2.3 zawiera podatność na atak XSS w pluginie TextHTML. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce ofiary.
- CVE-2025-67349Średnie
W FluentCMS 1.2.3 zidentyfikowano lukę cross-site scripting (XSS). Po zalogowaniu jako administrator i przejściu do funkcji "Add Page" aplikacja nie sanityzuje poprawnie danych wejściowych w sekcji <head>, co pozwala zdalnym atakującym na wstrzyknięcie dowolnych tagów script.
Oryginalny opis (angielski, źródło NVD)
A Stored Cross-Site Scripting (XSS) vulnerability was discovered in the File Management module of FluentCMS 1.2.3. The flaw allows an authenticated administrator to upload crafted SVG files containing malicious JavaScript code. Once uploaded, the script executes in the browser of any user who accesses the direct URL of the image, including unauthenticated visitors.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS