CVE-2026-111665
ŚrednieCVSS 5.4Streszczenie
Piranha CMS do wersji 12.2 zawiera podatność braku autoryzacji w Piranha.Manager LanguageApiController, która pozwala każdemu uwierzytelnionemu użytkownikowi menedżera wyświetlać, tworzyć, edytować i usuwać języki witryny bez szczegółowych uprawnień Language, LanguageAdd, LanguageEdit lub LanguageDelete. Atakujący może bezpośrednio wywoływać akcje Get, Save i Delete w manager/api/language, aby usuwać języki i przypisywać witryny do domyślnego, wpływając na zlokalizowaną treść w całej instancji.
Ocena ryzyka
Nieuprawnione usuwanie języków i przypisywanie witryn do domyślnego może zepsuć zlokalizowaną treść w całej instancji. Może to prowadzić do niedostępności treści dla użytkowników i utraty danych.
Rekomendacja
Zaktualizuj Piranha CMS do wersji nowszej niż 12.2, gdy będzie dostępna. Do czasu aktualizacji wymuszaj uprawnienia Language, LanguageAdd, LanguageEdit i LanguageDelete w LanguageApiController.
Inne podatności w Piranha CMS
Zobacz wszystkie- CVE-2025-67291Średnie
W module Media systemu Piranha CMS w wersji 12.1 wykryto podatność na trwały atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML w pole Name, co prowadzi do wykonania skryptów w przeglądarce ofiary.
- CVE-2025-67290Średnie
W Piranha CMS v12.1 w module Page Settings wykryto podatność na trwały cross-site scripting (XSS). Atakujący może wstrzyknąć złośliwy kod JavaScript lub HTML do pola Excerpt, co prowadzi do wykonania skryptów w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Piranha CMS through 12.2 contains a missing authorization vulnerability in the Piranha.Manager LanguageApiController that allows any authenticated manager user to list, create, edit and delete site languages without the granular Language, LanguageAdd, LanguageEdit or LanguageDelete permissions. Attackers can call the manager/api/language Get, Save and Delete actions directly to remove languages and reassign sites to the default, affecting localized content instance-wide.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS