CVE-2026-52203
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność w MCMS w wersji 6.1.1 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr source.
Ocena ryzyka
Atakujący może wyciec poufne dane systemowe, co może prowadzić do dalszych ataków.
Rekomendacja
Zaktualizuj MCMS do najnowszej wersji lub zastosuj dostępne poprawki zabezpieczające.
Inne podatności w MCMS
Zobacz wszystkie- CVE-2026-88416Krytyczne
MCMS w wersjach od 6.1.1 do 6.2.1 zawiera podatność SQL injection w funkcji importu niestandardowych modeli/formularzy.
- CVE-2026-88414Krytyczne
MCMS w wersjach od 6.1.1 do 6.2.1 zawiera podatność na wstrzyknięcie SQL w punkcie końcowym PageAction.verify (GET /ms/mdiy/page/verify.do).
- CVE-2026-68000Krytyczne
Interfejs /cms/category/list w MCMS <=6.2.0 jest podatny na wstrzykiwanie SQL. Parametr size jest bezpośrednio łączony z klauzulą LIMIT przez FreeMarker ${size} bez parametryzacji. Filtr SqlInjectionUtil nie blokuje słów kluczowych takich jak CREATE/TABLE/SET/PREPARE/EXECUTE, co pozwala na obejście i wykonanie złożonych zapytań SQL bez logowania.
- CVE-2025-29287Krytyczne
W komponencie ueditor systemu MCMS w wersji 5.4.3 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2026-88415Wysokie
MCMS w wersjach od 6.1.1 do 6.2.1 jest podatny na trwały atak Cross-Site Scripting (XSS). Pole zawartości artykułu `contentDetails` jest wyłączone z globalnego filtra XSS.
- CVE-2025-60837Średnie
W MCMS v6.0.1 wykryto podatność na odbity cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez spreparowany atak.
- CVE-2025-60838Średnie
W MCMS v6.0.1 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
Oryginalny opis (angielski, źródło NVD)
An issue in MCMS v.6.1.1 allows a remote attacker to obtain sensitive information via the source parameter.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS