CVE-2026-15530
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W WuzhiCMS do wersji 4.1.0 stwierdzono podatność w komponencie Attachment API. Funkcja config/listimage w pliku /index.php?m=attachment&f=index&v=upload umożliwia manipulację prowadzącą do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego ujawnienia poufnych danych przez atakującego bez uwierzytelnienia. Może to prowadzić do wycieku informacji o systemie lub użytkownikach.
Rekomendacja
Zaleca się natychmiastową aktualizację WuzhiCMS do najnowszej dostępnej wersji po 4.1.0 lub zastosowanie tymczasowych zabezpieczeń, takich jak blokada dostępu do podatnego pliku. Monitoruj oficjalne kanały producenta w poszukiwaniu łatki.
Inne podatności w WuzhiCMS
Zobacz wszystkie- CVE-2026-91849Średnie
W WuzhiCMS do wersji 4.1.0 odkryto lukę w zabezpieczeniach. Dotyczy ona funkcji member::setAvatar w pliku /index.php?m=member&f=user&v=setAvatar komponentu Avatar Upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików.
- CVE-2026-91848Wysokie
W WuzhiCMS do wersji 4.1.0 zidentyfikowano lukę w funkcji article::getDataOfJson w pliku /index.php?m=content&f=article&v=getDataOfJson. Manipulacja argumentami title/master_table prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
- CVE-2024-32206Średnie
W WUZHICMS v4.1.0 w komponencie /affiche/admin/index.php występuje podatność na trwałe XSS. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML przez parametr $formdata.
Oryginalny opis (angielski, źródło NVD)
A flaw has been found in WuzhiCMS up to 4.1.0. Affected by this vulnerability is the function config/listimage of the file /index.php?m=attachment&f=index&v=upload of the component Attachment API. Executing a manipulation can lead to information disclosure. The attack can be launched remotely. The exploit has been published and may be used. The project was informed of the problem early through an issue report but has not responded yet.