CVE-2026-120348
WysokieCVSS 7.3Streszczenie
W dayrui XunRuiCMS do wersji 4.7.4 wykryto podatność w funkcji _get_tpl_content pliku dayrui/Fcms/Library/Notice.php, w komponencie renderowania szablonów e-mail. Manipulacja prowadzi do wstrzyknięcia kodu, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny i może być wykorzystany; producent nie odpowiedział na zgłoszenie.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć i wykonać kod w kontekście aplikacji, co może prowadzić do przejęcia systemu. Brak reakcji producenta zwiększa ryzyko długotrwałej ekspozycji.
Rekomendacja
Należy ograniczyć dostęp do funkcji szablonów e-mail, wdrożyć środki kontroli wejścia i rozważyć migrację lub własne poprawki, ponieważ producent nie dostarczył aktualizacji.
Inne podatności w dayrui XunRuiCMS
Zobacz wszystkie- CVE-2026-120347Wysokie
W dayrui XunRuiCMS do wersji 4.7.4 wykryto podatność w funkcji View pliku dayrui/Fcms/Core/View.php, w komponencie modułu członków. Manipulacja argumentem catid prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany; dostępna jest poprawka 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231.
- CVE-2025-15144Średnie
W dayrui XunRuiCMS do wersji 4.7.1 wykryto lukę w funkcji dr_show_error/dr_exit_msg w pliku /dayrui/Fcms/Init.php w komponencie JSONP Callback Handler. Manipulacja argumentem callback prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Exploit został publicznie udostępniony, a producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in dayrui XunRuiCMS up to 4.7.4. Affected by this vulnerability is the function _get_tpl_content of the file dayrui/Fcms/Library/Notice.php of the component Email Template Rendering. The manipulation leads to code injection. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS