CVE-2026-13529
ŚrednieCVSS 5.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W YzmCMS do wersji 7.5 wykryto podatność SQL injection w pliku /application/install/index.php. Atak polega na manipulacji argumentem siteurl i może być przeprowadzony zdalnie, choć jest uznawany za trudny do wykorzystania. Exploit został publicznie ujawniony.
Ocena ryzyka
Udane wykorzystanie podatności może pozwolić atakującemu na wstrzyknięcie złośliwego kodu SQL, co grozi wyciekiem lub modyfikacją danych w bazie. Mimo wysokiego poziomu trudności, publiczny exploit zwiększa ryzyko ataku.
Rekomendacja
Zaleca się natychmiastową aktualizację YzmCMS do najnowszej wersji po 7.5 lub zastosowanie tymczasowych zabezpieczeń, takich jak walidacja wejścia siteurl. Monitoruj logi pod kątem nietypowych zapytań SQL.
Inne podatności w YzmCMS
Zobacz wszystkie- CVE-2022-23383Krytyczne
YzmCMS v6.3 zawiera lukę w kontroli dostępu, która umożliwia nieautoryzowany dostęp do strony osobistej użytkownika bez logowania. Podatność wynika z braku prawidłowego uwierzytelnienia przed dostępem do strony domowej, co pozwala na przeglądanie stron innych użytkowników bez zalogowania.
- CVE-2026-75417Wysokie
Podatność SQL injection w YzmCMS 7.5 występuje w funkcji get_arrchildid() w pliku category.class.php. Parametr parentid jest bezpośrednio łączony z klauzulą SQL FIND_IN_SET() bez odpowiedniej sanityzacji, co pozwala zalogowanemu administratorowi na wykonanie dowolnych zapytań SQL przez ślepą iniekcję opartą na wartościach logicznych.
- CVE-2026-15202Średnie
W YzmCMS do wersji 7.5 wykryto podatność na atak XSS w funkcji get_url pliku /yzmphp/yzmphp.php. Manipulacja argumentem HTTP_HOST w komponencie Header Handler umożliwia zdalne wykonanie skryptu. Exploit został publicznie ujawniony i może być wykorzystany.
- CVE-2025-56304Średnie
Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.
- CVE-2021-36712Średnie
Podatność Cross Site Scripting (XSS) w systemie yzmcms 6.1 umożliwia atakującym kradzież ciasteczek użytkowników poprzez funkcję przycinania obrazów.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in YzmCMS up to 7.5. This affects an unknown function of the file /application/install/index.php. Executing a manipulation of the argument siteurl can lead to sql injection. The attack can be executed remotely. A high complexity level is associated with this attack. The exploitability is reported as difficult. The exploit has been publicly disclosed and may be utilized. The vendor was contacted early about this disclosure but did not respond in any way.