CVE-2026-108790
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W CicadasCMS (westboy) do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab wykryto podatność typu path traversal w funkcji TemplateController.save w pliku /system/cms/template/save (komponent Backend Template Editor). Atakujący może wykorzystać ją zdalnie, a publiczny exploit jest już dostępny. Producent został powiadomiony, ale nie odpowiedział.
Ocena ryzyka
Podatność pozwala na zdalne manipulowanie ścieżkami plików, co może prowadzić do nieautoryzowanego dostępu do plików lub ich nadpisania. Ponieważ exploit jest publiczny, ryzyko szybkiego wykorzystania jest wysokie.
Rekomendacja
Zaleca się natychmiastowe ograniczenie dostępu do panelu administracyjnego oraz wdrożenie poprawek, gdy tylko producent je udostępni. Do czasu ich wydania należy rozważyć wyłączenie lub zabezpieczenie funkcji edytora szablonów.
Inne podatności w CicadasCMS
Zobacz wszystkie- CVE-2026-108791Średnie
Słabość w CicadasCMS do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab dotyczy funkcji TemplateController.input w pliku /system/cms/template/input komponentu Template Management. Manipulacja argumentem filePath prowadzi do przejścia ścieżki (path traversal). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-10529Niskie
Podatność w westboy CicadasCMS do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab. Nieznana funkcja w pliku ScheduleJobController.java w module zarządzania harmonogramem zadań jest podatna na atak XSS. Atak może być przeprowadzony zdalnie.
- CVE-2026-10153Średnie
W westboy CicadasCMS (do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab) funkcja Search w pliku org/springframework/cache/support/AbstractCacheManager.java jest podatna na cross-site scripting (XSS) poprzez manipulację argumentem s. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11289Niskie
W CicadasCMS (do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab) wykryto podatność w funkcji Save w pliku TemplateFileServiceImpl.java, w komponencie zarządzania szablonami. Podatność typu cross-site scripting (XSS) pozwala na zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-11069Niskie
W westboy CicadasCMS 1.0 wykryto podatność na cross-site scripting (XSS) w pliku /system/org/save, w komponencie Add Department Handler. Manipulacja argumentem Name prowadzi do XSS. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-11068Niskie
Podatność w westboy CicadasCMS 1.0 dotyczy nieznanej funkcjonalności w pliku /system/cms/category/save. Manipulacja argumentem categoryName prowadzi do cross site scripting (XSS). Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in westboy CicadasCMS up to 2431154dac8d0735e04f1fd2a3c3556668fc8dab. This impacts the function TemplateController.save of the file /system/cms/template/save of the component Backend Template Editor. The manipulation results in path traversal. The attack may be performed from remote. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS