CVE-2026-36472
ŚrednieCVSS 5.2Streszczenie
CuteNews v2.1.2 jest podatny na XSS w wartości __referer. Atakujący może wykonać dowolny JavaScript w kontekście sesji uwierzytelnionego użytkownika poprzez javascript: URI renderowany jako nieoszlifowany link na stronie msg_info.
Ocena ryzyka
Możliwość przejęcia sesji użytkownika, kradzież danych, wykonanie nieautoryzowanych działań.
Rekomendacja
Zaktualizuj CuteNews do najnowszej wersji, która naprawia podatność, lub zastosuj odpowiednie filtrowanie.
Inne podatności w CuteNews
Zobacz wszystkie- CVE-2026-36471Nieznane
Deserializacja niezaufanych danych parametru __post_data w funkcji cn_parse_url() w CuteNews w wersji 2.1.2 pozwala zdalnemu atakującemu wstrzyknąć dowolne wartości do wewnętrznych zmiennych żądania (w tym __referer) poprzez spreparowany ładunek PHP serializowany i zakodowany w base64, przesłany jako parametr POST.
- CVE-2026-36470Nieznane
CuteNews w wersji 2.1.2 jest podatny na cross site scripting (XSS) w pliku index.php. Wartość nagłówka "Referer" jest kopiowana do odpowiedzi HTML bez modyfikacji i escapowania podczas wysyłania wiadomości POST do index.php.
- CVE-2026-36469Nieznane
CuteNews w wersji 2.1.2 jest podatny na Server-Side Request Forgery (SSRF) w pliku core/modules/media.php — funkcja upload_from_inet (funkcjonalność "Upload by URL" w Media Manager).
- CVE-2026-36468Średnie
CuteNews v2.1.2 ma podatność XSS w index.php, gdzie nieuwierzytelniony atakujący może dostarczyć dowolny klucz parametru URL, zawierający w nazwie część z payloadem XSS, co prowadzi do wykonania skryptu w przeglądarce ofiary.
- CVE-2026-36467Wysokie
W CuteNews w wersji 2.1.2 w pliku core/modules/media.php występuje nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to zdalnym uwierzytelnionym użytkownikom z dostępem do panelu Media Manager wykonanie dowolnego kodu w kontekście aplikacji webowej, co prowadzi do uzyskania dostępu do serwera poprzez wywołanie reverse shell.
Oryginalny opis (angielski, źródło NVD)
CuteNews v.2.1.2 is vulnerable to Cross Site Scripting (XSS). Improper neutralization of the __referer value 2.0.1 allows a remote attacker to execute arbitrary JavaScript in the context of an authenticated user's session via a javascript: URI rendered as an unsanitized clickable link on the msg_info page.