CVE-2026-82598
WysokieCVSS 7.3Streszczenie
Podatność w SeaCMS do wersji 13.6 w funkcji parseIf pliku search.php komponentu Template Engine pozwala na wstrzyknięcie kodu przez argument searchtype. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze, co może prowadzić do pełnej kompromitacji systemu i przejęcia kontroli nad witryną.
Rekomendacja
Zaleca się aktualizację SeaCMS do nowszej wersji, która zawiera poprawkę, lub zastosowanie odpowiednich filtrów na argumencie searchtype.
Inne podatności w SeaCMS
Zobacz wszystkie- CVE-2026-82603Średnie
W SeaCMS do wersji 13.6 wykryto podatność na path traversal w pliku /member.php?action=del_pl w komponencie Comment Cache. Manipulacja argumentami itype/vid umożliwia zdalny atak. Exploit jest publiczny.
- CVE-2026-82602Średnie
W SeaCMS do wersji 13.6 wykryto podatność na obejście autoryzacji w pliku /ass.php. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-82601Średnie
W SeaCMS do wersji 13.6 wykryto podatność na cross-site scripting (XSS) w pliku /err.php. Manipulacja argumentem errtxt umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2026-82600Wysokie
Podatność w SeaCMS do wersji 13.6 w pliku /zyapi.php?ac=videolist pozwala na wstrzyknięcie SQL przez argument ids. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-82599Średnie
W SeaCMS do wersji 13.6 wykryto podatność na path traversal w funkcji unlink w pliku /member.php?action=chgpwdsubmit w komponencie Avatar Upload. Manipulacja argumentem oldpic umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2017-17561Wysokie
SeaCMS w wersji 6.56 pozwala zdalnie uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez spreparowane pole token w pliku admin/admin_ping.php, które współdziała z data/admin/ping.php.
- CVE-2024-54879Krytyczne
SeaCMS V13.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Błąd logiczny umożliwia atakującemu dowolne, nieograniczone doładowywanie kont członkowskich.
- CVE-2023-46010Krytyczne
W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2025-50592Średnie
W systemie SeaCMS przed wersją 13.2 wykryto podatność na atak typu Cross-Site Scripting (XSS) poprzez parametr 'vid' w skrypcie Upload/js/player/dmplayer/player. Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.
- CVE-2025-25813Średnie
W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_files.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in SeaCMS up to 13.6. Affected is the function parseIf of the file search.php of the component Template Engine. This manipulation of the argument searchtype causes code injection. It is possible to initiate the attack remotely. The exploit has been publicly disclosed and may be utilized.