CVE-2026-4954
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W mingSoft MCMS do wersji 5.5.0 wykryto podatność SQL Injection w funkcji list pliku ContentAction.java, w komponencie Web Content List Endpoint. Manipulacja danymi wejściowymi prowadzi do wstrzyknięcia kodu SQL. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony.
Ocena ryzyka
Podatność może pozwolić atakującemu na wykonanie dowolnych zapytań SQL, co może skutkować wyciekiem danych lub eskalacją uprawnień. Publiczny exploit zwiększa ryzyko ataku.
Rekomendacja
Należy pilnie zaktualizować mingSoft MCMS do wersji naprawionej lub wdrożyć poprawki walidacji danych wejściowych w funkcji list. Zaleca się również ograniczenie dostępu do endpointu listy treści.
Inne podatności w mingSoft MCMS
Zobacz wszystkie- CVE-2026-19357Średnie
W produkcie MingSoft MCMS do wersji 3.0.6 wykryto podatność prowadzącą do ujawnienia informacji w nieznanej funkcji pliku /mdiy/form/get komponentu ms-mdiy. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-19356Średnie
W produkcie MingSoft MCMS do wersji 3.0.6 wykryto podatność prowadzącą do ujawnienia informacji w nieznanej funkcji pliku /mdiy/form/data/list komponentu ms-mdiy. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny.
- CVE-2026-19355Wysokie
W produkcie MingSoft MCMS do wersji 3.0.6 wykryto podatność na wstrzykiwanie SQL w funkcji ModelDataImpl.queryDiyFormData pliku /mdiy/form/data/list.do komponentu ms-mdiy. Manipulacja argumentem formFields umożliwia zdalne wykonanie ataku. Exploit został publicznie ujawniony i może być wykorzystany.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in mingSoft MCMS up to 5.5.0. Impacted is the function list of the file net/mingsoft/cms/action/web/ContentAction.java of the component Web Content List Endpoint. The manipulation leads to sql injection. The attack can be initiated remotely. The exploit has been disclosed publicly and may be used.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS