CVE-2026-7429
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
SSCMS v7.4.0 zawiera podatność typu reflected cross-site scripting w punkcie końcowym przetwarzania STL, pozwalającą atakującym na wykonanie dowolnego JavaScriptu poprzez spreparowane szablony STL zwracane bez odpowiedniej sanityzacji. Atakujący może wykorzystać nieprawidłowe kodowanie wyjścia w punkcie końcowym /api/stl/actions/dynamic do wstrzyknięcia wykonywalnego JavaScriptu do odpowiedzi JSON.
Ocena ryzyka
Może prowadzić do przejęcia sesji, ataków phishingowych i nieautoryzowanych działań w imieniu użytkowników. Ryzyko dotyczy administratorów i użytkowników panelu SSCMS.
Rekomendacja
Zaktualizuj SSCMS do wersji zawierającej poprawkę lub wdróż walidację i kodowanie wyjścia w punkcie końcowym /api/stl/actions/dynamic. Rozważ wdrożenie nagłówków CSP.
Inne podatności w SSCMS
Zobacz wszystkie- CVE-2026-7435Wysokie
SSCMS w wersji 7.4.0 zawiera podatność na wstrzykiwanie SQL w tagu stl:sqlContent, gdzie atrybut queryString jest przekazywany bezpośrednio do wykonania w bazie danych bez parametryzacji lub sanitizacji. Atakujący mogą stworzyć zaszyfrowane ładunki przesyłane do punktu końcowego /api/stl/actions/dynamic, aby wykonać dowolne polecenia SQL.
- CVE-2025-52237Średnie
W systemie SSCMS w wersji 7.3.1 w komponencie /stl/actions/download?filePath występuje podatność na przechodzenie do katalogów nadrzędnych (directory traversal). Umożliwia ona atakującemu odczyt dowolnych plików poza zamierzonym katalogiem.
Oryginalny opis (angielski, źródło NVD)
SSCMS v7.4.0 contains a reflected cross-site scripting vulnerability in the STL processing endpoint that allows attackers to execute arbitrary JavaScript by crafting malicious STL template payloads that are decrypted and returned without proper sanitization. Attackers can exploit improper output encoding in the /api/stl/actions/dynamic endpoint to inject executable JavaScript into JSON responses, leading to session hijacking, phishing attacks, and unauthorized actions performed on behalf of users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS