CVE-2026-6633

NiskieCVSS 3.5

Opublikowano: 20/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W systemie Yifang CMS do wersji 2.0.5 odkryto lukę cross-site scripting w funkcji store pliku plugins/yifang_backend_account/logic/admin/L_rbac_admin.php komponentu Extended Management Module. Manipulacja argumentem Account prowadzi do wstrzyknięcia skryptu. Atak można wykonać zdalnie, a exploit jest publicznie dostępny.

Ocena ryzyka

Zdalny atakujący może wykonać złośliwy skrypt w przeglądarce administratora, co grozi przejęciem sesji lub danych. Brak odpowiedzi producenta oznacza ryzyko braku łatki.

Rekomendacja

Ogranicz dostęp do panelu administracyjnego, wdróż walidację i kodowanie danych wejściowych oraz monitoruj próby XSS. Skontaktuj się z producentem w sprawie aktualizacji.

Inne podatności w Yifang CMS

CVE-2025-11136Średnie
CMS YiFang do wersji 2.0.2 ma podatność nieograniczonego przesyłania plików w funkcji webUploader pliku app/app/controller/File.php w komponencie Backend. Manipulacja argumentem uploadpath umożliwia zdalny atak. Exploit został opublikowany.

Oryginalny opis (angielski, źródło NVD)

A security flaw has been discovered in Yifang CMS up to 2.0.5. The impacted element is the function store of the file plugins/yifang_backend_account/logic/admin/L_rbac_admin.php of the component Extended Management Module. The manipulation of the argument Account results in cross site scripting. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS