CVE-2026-39170
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
SemCms 5.0 jest podatny na Cross-Site Request Forgery (CSRF) poprzez spreparowane żądanie POST do /admin/semcms_user.php.
Ocena ryzyka
Atakujący może nakłonić zalogowanego administratora do wykonania niechcianych działań, takich jak zmiana uprawnień użytkowników, bez jego wiedzy.
Rekomendacja
Zastosuj mechanizmy ochrony CSRF, takie jak tokeny anty-CSRF, w formularzach administracyjnych SemCms.
Inne podatności w SemCms
Zobacz wszystkie- CVE-2023-37647Krytyczne
W SEMCMS v1.5 wykryto podatność na wstrzykiwanie SQL w parametrze 'id' w skrypcie /Ant_Suxin.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
- CVE-2026-108814Średnie
Podatność SQL injection w SEMCMS (do wersji 5.0) w pliku SEMCMS_Banner.php. Manipulacja danymi wejściowymi może prowadzić do wstrzyknięcia SQL, atak możliwy zdalnie.
- CVE-2026-108813Średnie
Podatność SQL injection w SEMCMS (do wersji 5.0) w pliku SEMCMS_Download.php. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia SQL, atak możliwy zdalnie.
- CVE-2026-108812Średnie
Podatność nieprawidłowej autoryzacji w SEMCMS (do wersji 5.0) w pliku /admin/SEMCMS_User.php?Class=Deleted&CF=user. Manipulacja prowadzi do nieprawidłowej autoryzacji, atak możliwy zdalnie.
- CVE-2026-96739Średnie
W produkcie SEMCMS do wersji 4.2 wykryto podatność w pliku /Edit/php/upload_json.php. Manipulacja argumentem imgFile powoduje cross site scripting. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2026-39169Wysokie
SEMCMS 5.0 jest podatny na nieautoryzowany dostęp w pliku SEMCMS_copy.php.
- CVE-2025-51660Średnie
W SemCms v5.0 wykryto podatność na wstrzykiwanie SQL w parametrze lgid w pliku SEMCMS_Products.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
- CVE-2025-51659Średnie
W SemCms v5.0 wykryto podatność na wstrzykiwanie SQL w parametrze ID w pliku SEMCMS_Products.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
- CVE-2025-51658Średnie
W SemCms v5.0 wykryto podatność na wstrzykiwanie SQL w pliku SEMCMS_InquiryView.php poprzez parametr ID. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
- CVE-2025-51657Średnie
W SemCms v5.0 wykryto podatność na wstrzykiwanie SQL w parametrze lgid w pliku SEMCMS_Link.php. Atakujący może manipulować tym parametrem, aby wykonać nieautoryzowane zapytania do bazy danych.
Oryginalny opis (angielski, źródło NVD)
SemCms 5.0 is vulnerable to Cross Site Request Forgery (CSRF) via crafted POST request to /admin/semcms_user.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS