CVE-2026-121929
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
W EmpireSoft EmpireCMS do wersji 8.0 wykryto lukę w nieznanej funkcji pliku /e/member/mspace/index.php. Manipulacja argumentem spacename prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystywany.
Ocena ryzyka
Zdalny atakujący może wykorzystać XSS do wykonania złośliwego skryptu w przeglądarce ofiary, potencjalnie przejmując sesję lub kradnąc dane. Publiczna dostępność exploitu zwiększa ryzyko aktywnego wykorzystania.
Rekomendacja
Brak dostępnej poprawki — rozważ ograniczenie dostępu do dotkniętego pliku lub wdrożenie reguł WAF filtrujących parametr spacename. Monitoruj komunikaty dostawcy dotyczące aktualizacji.
Inne podatności w EmpireCMS
Zobacz wszystkie- CVE-2025-15423Średnie
W EmpireSoft EmpireCMS do wersji 8.0 odkryto podatność w funkcji CheckSaveTranFiletype w pliku e/class/connect.php, która umożliwia nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit został ujawniony publicznie.
- CVE-2025-15422Średnie
W EmpireSoft EmpireCMS do wersji 8.0 odkryto błąd w funkcji egetip w pliku e/class/connect.php w komponencie IP Address Handler. Manipulacja powoduje awarię mechanizmu ochrony. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in EmpireSoft EmpireCMS up to 8.0. Impacted is an unknown function of the file /e/member/mspace/index.php. The manipulation of the argument spacename results in cross site scripting. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS