CVE-2026-101018
ŚrednieCVSS 4.7Streszczenie
Podatność w XunruiCMS do wersji 4.7.2 dotyczy funkcji group_all_edit w pliku dayrui/App/Member/Controllers/Admin/Home.php komponentu Group Editing. Manipulacja argumentem groupid powoduje SQL injection. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Zdalny atakujący może manipulować zapytaniami SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia.
Rekomendacja
Zaktualizuj XunruiCMS do najnowszej wersji lub zastosuj poprawki producenta. Ogranicz dostęp do panelu administracyjnego i waliduj dane wejściowe.
Inne podatności w XunruiCMS
Zobacz wszystkie- CVE-2025-14007Niskie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej części pliku /admin79f2ec220c7e.php?c=api&m=demo&name=mobile w komponencie Domain Name Binding Page. Manipulacja prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie i wymaga wysokiej złożoności.
- CVE-2025-14006Niskie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto podatność w nieznanej funkcjonalności pliku /admind45f74adbd95.php?c=field&m=add&rname=site&rid=1&page=1 w komponencie Add Data Validation Page. Manipulacja argumentem data[name] prowadzi do cross site scripting (XSS). Atak może być przeprowadzony zdalnie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in dayrui XunruiCMS up to 4.7.2. This issue affects the function group_all_edit of the file dayrui/App/Member/Controllers/Admin/Home.php of the component Group Editing. This manipulation of the argument groupid causes sql injection. The attack is possible to be carried out remotely. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS