CVE-2026-36468
ŚrednieCVSS 6.1Streszczenie
CuteNews v2.1.2 ma podatność XSS w index.php, gdzie nieuwierzytelniony atakujący może dostarczyć dowolny klucz parametru URL, zawierający w nazwie część z payloadem XSS, co prowadzi do wykonania skryptu w przeglądarce ofiary.
Ocena ryzyka
Ryzyko wykonania skryptów w przeglądarce ofiary, kradzież danych, przejęcie sesji.
Rekomendacja
Zaktualizuj CuteNews do wersji z poprawką lub zastosuj odpowiednie sanityzacje wejścia.
Inne podatności w CuteNews
Zobacz wszystkie- CVE-2026-36472Średnie
CuteNews v2.1.2 jest podatny na XSS w wartości __referer. Atakujący może wykonać dowolny JavaScript w kontekście sesji uwierzytelnionego użytkownika poprzez javascript: URI renderowany jako nieoszlifowany link na stronie msg_info.
- CVE-2026-36471Nieznane
Deserializacja niezaufanych danych parametru __post_data w funkcji cn_parse_url() w CuteNews w wersji 2.1.2 pozwala zdalnemu atakującemu wstrzyknąć dowolne wartości do wewnętrznych zmiennych żądania (w tym __referer) poprzez spreparowany ładunek PHP serializowany i zakodowany w base64, przesłany jako parametr POST.
- CVE-2026-36470Nieznane
CuteNews w wersji 2.1.2 jest podatny na cross site scripting (XSS) w pliku index.php. Wartość nagłówka "Referer" jest kopiowana do odpowiedzi HTML bez modyfikacji i escapowania podczas wysyłania wiadomości POST do index.php.
- CVE-2026-36469Nieznane
CuteNews w wersji 2.1.2 jest podatny na Server-Side Request Forgery (SSRF) w pliku core/modules/media.php — funkcja upload_from_inet (funkcjonalność "Upload by URL" w Media Manager).
- CVE-2026-36467Wysokie
W CuteNews w wersji 2.1.2 w pliku core/modules/media.php występuje nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to zdalnym uwierzytelnionym użytkownikom z dostępem do panelu Media Manager wykonanie dowolnego kodu w kontekście aplikacji webowej, co prowadzi do uzyskania dostępu do serwera poprzez wywołanie reverse shell.
Oryginalny opis (angielski, źródło NVD)
Cross-site Scripting (XSS) in index.php in CuteNews v.2.1.2 allows remote unauthenticated attackers to supply an arbitrarily named URL parameter key, with part of its name containing any URL-encoded common XSS payload (such as "><script>alert(1)</script>).