CVE-2026-108791
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Słabość w CicadasCMS do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab dotyczy funkcji TemplateController.input w pliku /system/cms/template/input komponentu Template Management. Manipulacja argumentem filePath prowadzi do przejścia ścieżki (path traversal). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do odczytu lub zapisu plików poza dozwolonym katalogiem, co może prowadzić do wycieku danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj CicadasCMS do najnowszej wersji lub zastosuj poprawki zabezpieczające, aby uniemożliwić manipulację ścieżką plików.
Inne podatności w CicadasCMS
Zobacz wszystkie- CVE-2026-108790Średnie
W CicadasCMS (westboy) do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab wykryto podatność typu path traversal w funkcji TemplateController.save w pliku /system/cms/template/save (komponent Backend Template Editor). Atakujący może wykorzystać ją zdalnie, a publiczny exploit jest już dostępny. Producent został powiadomiony, ale nie odpowiedział.
- CVE-2026-10529Niskie
Podatność w westboy CicadasCMS do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab. Nieznana funkcja w pliku ScheduleJobController.java w module zarządzania harmonogramem zadań jest podatna na atak XSS. Atak może być przeprowadzony zdalnie.
- CVE-2026-10153Średnie
W westboy CicadasCMS (do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab) funkcja Search w pliku org/springframework/cache/support/AbstractCacheManager.java jest podatna na cross-site scripting (XSS) poprzez manipulację argumentem s. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-11289Niskie
W CicadasCMS (do wersji 2431154dac8d0735e04f1fd2a3c3556668fc8dab) wykryto podatność w funkcji Save w pliku TemplateFileServiceImpl.java, w komponencie zarządzania szablonami. Podatność typu cross-site scripting (XSS) pozwala na zdalne przeprowadzenie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-11069Niskie
W westboy CicadasCMS 1.0 wykryto podatność na cross-site scripting (XSS) w pliku /system/org/save, w komponencie Add Department Handler. Manipulacja argumentem Name prowadzi do XSS. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2025-11068Niskie
Podatność w westboy CicadasCMS 1.0 dotyczy nieznanej funkcjonalności w pliku /system/cms/category/save. Manipulacja argumentem categoryName prowadzi do cross site scripting (XSS). Atak może być wykonany zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in westboy CicadasCMS up to 2431154dac8d0735e04f1fd2a3c3556668fc8dab. Affected is the function TemplateController.input of the file /system/cms/template/input of the component Template Management. This manipulation of the argument filePath causes path traversal. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS