CVE-2026-15202
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
W YzmCMS do wersji 7.5 wykryto podatność na atak XSS w funkcji get_url pliku /yzmphp/yzmphp.php. Manipulacja argumentem HTTP_HOST w komponencie Header Handler umożliwia zdalne wykonanie skryptu. Exploit został publicznie ujawniony i może być wykorzystany.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć złośliwy skrypt, co prowadzi do kradzieży sesji, przekierowań lub kradzieży danych użytkowników. Ryzyko jest wysokie ze względu na publicznie dostępny exploit i brak reakcji producenta.
Rekomendacja
Należy natychmiast zaktualizować YzmCMS do najnowszej wersji (powyżej 7.5) lub zastosować tymczasowe zabezpieczenie, np. filtrowanie nagłówka HTTP_HOST. Jeśli aktualizacja nie jest dostępna, rozważ migrację na inne rozwiązanie CMS.
Inne podatności w YzmCMS
Zobacz wszystkie- CVE-2022-23383Krytyczne
YzmCMS v6.3 zawiera lukę w kontroli dostępu, która umożliwia nieautoryzowany dostęp do strony osobistej użytkownika bez logowania. Podatność wynika z braku prawidłowego uwierzytelnienia przed dostępem do strony domowej, co pozwala na przeglądanie stron innych użytkowników bez zalogowania.
- CVE-2026-75417Wysokie
Podatność SQL injection w YzmCMS 7.5 występuje w funkcji get_arrchildid() w pliku category.class.php. Parametr parentid jest bezpośrednio łączony z klauzulą SQL FIND_IN_SET() bez odpowiedniej sanityzacji, co pozwala zalogowanemu administratorowi na wykonanie dowolnych zapytań SQL przez ślepą iniekcję opartą na wartościach logicznych.
- CVE-2026-13529Średnie
W YzmCMS do wersji 7.5 wykryto podatność SQL injection w pliku /application/install/index.php. Atak polega na manipulacji argumentem siteurl i może być przeprowadzony zdalnie, choć jest uznawany za trudny do wykorzystania. Exploit został publicznie ujawniony.
- CVE-2025-56304Średnie
Podatność na atak typu Cross-site scripting (XSS) w systemie YzmCMS do wersji 7.3, występująca w nagłówku referer na stronie rejestracji. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do przeglądarki ofiary.
- CVE-2021-36712Średnie
Podatność Cross Site Scripting (XSS) w systemie yzmcms 6.1 umożliwia atakującym kradzież ciasteczek użytkowników poprzez funkcję przycinania obrazów.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in YzmCMS up to 7.5. Affected is the function get_url of the file /yzmphp/yzmphp.php of the component Header Handler. The manipulation of the argument HTTP_HOST leads to cross site scripting. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.