CVE-2025-71310
NiskieCVSS 1.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Moduł GDPR cookies dla Backdrop CMS przed wersją 1.x-1.3.5 nie chroni wystarczająco odwiedzających przed atakami Cross Site Scripting (XSS), jeśli dla opcjonalnego pola 'Info content' usługi YouTube podano złośliwą wartość. Atak jest możliwy tylko wtedy, gdy osoba atakująca ma rolę z uprawnieniem do tworzenia lub edycji usług GDPR Cookies, a strona musi mieć skonfigurowaną usługę YouTube.
Ocena ryzyka
Organizacja narażona jest na ataki XSS, które mogą prowadzić do kradzieży sesji, przekierowań do złośliwych stron lub kradzieży danych odwiedzających, jeśli atakujący ma odpowiednie uprawnienia.
Rekomendacja
Należy zaktualizować moduł GDPR cookies dla Backdrop CMS do wersji 1.x-1.3.5 lub nowszej, która zawiera poprawkę zabezpieczającą przed XSS.
Inne podatności w Backdrop CMS
Zobacz wszystkie- CVE-2026-107914Wysokie
Backdrop CMS w wersjach 1.34 przed 1.34.5 oraz 1.35 przed 1.35.1 nie zapewnia wystarczającej ochrony eksportów konfiguracji podczas dostarczania skompresowanego archiwum. Podatność jest ograniczona faktem, że eksport musiał zostać wcześniej zlecony przez osobę z uprawnieniem 'Synchronize, import, and export configuration'. Problem dotyczy tego, że config.admin.inc nie zapewnia wykonania operacji file_unmanaged_delete, przez co wiele archiwów może pozostać na serwerze.
- CVE-2026-104476Średnie
Backdrop CMS przed wersją 1.35.1 zawiera podatność ujawnienia informacji, która pozwala nieuwierzytelnionym atakującym pobrać archiwa eksportu konfiguracji pozostawione na serwerze po transferze. Atakujący może pobrać skompresowane archiwa wygenerowane przez użytkowników z uprawnieniami do eksportu konfiguracji, aby uzyskać pełną konfigurację witryny, w tym wrażliwe ustawienia.
- CVE-2025-44141Średnie
W Backdrop CMS 1.30 w formularzu tworzenia węzłów występuje podatność na atak typu Cross-Site Scripting (XSS). Umożliwia ona wstrzyknięcie złośliwego kodu JavaScript do strony.
- CVE-2022-34530Średnie
W Backdrop CMS v1.22.0 wykryto problem w funkcjonalności logowania i resetowania hasła, który umożliwia atakującym enumerację nazw użytkowników. Podatność polega na tym, że system zwraca różne odpowiedzi w zależności od tego, czy podana nazwa użytkownika istnieje, co pozwala na jej identyfikację.
Oryginalny opis (angielski, źródło NVD)
The GDPR cookies module for Backdrop CMS (before 1.x-1.3.5) doesn't sufficiently protect visitors from Cross Site Scripting (XSS) if a malicious value has been provided for the optional 'Info content' field for the YouTube service. This is mitigated by the fact that an attacker must have a role with the permission "Create a GDPR Cookies Service" or "Edit any GDPR Cookies Service" and a site must have added a YouTube service as configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS