CVE-2026-13529
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 — wyżej niż 15% wszystkich znanych CVE
Streszczenie
W YzmCMS do wersji 7.5 wykryto podatność SQL injection w pliku /application/install/index.php. Atak polega na manipulacji argumentem siteurl i może być przeprowadzony zdalnie, choć jest uznawany za trudny do wykorzystania. Exploit został publicznie ujawniony.
Ocena ryzyka
Udane wykorzystanie podatności może pozwolić atakującemu na wstrzyknięcie złośliwego kodu SQL, co grozi wyciekiem lub modyfikacją danych w bazie. Mimo wysokiego poziomu trudności, publiczny exploit zwiększa ryzyko ataku.
Rekomendacja
Zaleca się natychmiastową aktualizację YzmCMS do najnowszej wersji po 7.5 lub zastosowanie tymczasowych zabezpieczeń, takich jak walidacja wejścia siteurl. Monitoruj logi pod kątem nietypowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in YzmCMS up to 7.5. This affects an unknown function of the file /application/install/index.php. Executing a manipulation of the argument siteurl can lead to sql injection. The attack can be executed remotely. A high complexity level is associated with this attack. The exploitability is reported as difficult. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.