CVE-2026-85137
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W SeaCMS do wersji 13.6 wykryto podatność na wstrzykiwanie kodu w funkcji parseIf pliku seacms_locoy_news.php w komponencie Locoy Collector. Manipulacja argumentem pwd prowadzi do wstrzyknięcia kodu, a atak może być przeprowadzony zdalnie.
Ocena ryzyka
Atakujący może zdalnie wstrzyknąć kod, co może prowadzić do wykonania dowolnego kodu na serwerze i pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj SeaCMS do najnowszej wersji, która zawiera poprawkę, lub zastosuj dostępne łatki.
Inne podatności w SeaCMS
Zobacz wszystkie- CVE-2026-85138Wysokie
W SeaCMS do wersji 13.6 wykryto podatność na wstrzykiwanie SQL w funkcji addslashes pliku weixin/index.php w module WeChat. Manipulacja argumentem Content umożliwia zdalny atak.
- CVE-2017-17561Wysokie
SeaCMS w wersji 6.56 pozwala zdalnie uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez spreparowane pole token w pliku admin/admin_ping.php, które współdziała z data/admin/ping.php.
- CVE-2024-54879Krytyczne
SeaCMS V13.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Błąd logiczny umożliwia atakującemu dowolne, nieograniczone doładowywanie kont członkowskich.
- CVE-2023-46010Krytyczne
W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.
- CVE-2026-79423Niskie ryzyko· EPSS 15%
Podatność zdalnego wykonania kodu (RCE) w komponencie admin_config.php systemu seacms v13.6. Uwierzytelniony atakujący może wykonać dowolny kod poprzez spreparowane żądanie POST.
- CVE-2026-82603Średnie
W SeaCMS do wersji 13.6 wykryto podatność na path traversal w pliku /member.php?action=del_pl w komponencie Comment Cache. Manipulacja argumentami itype/vid umożliwia zdalny atak. Exploit jest publiczny.
- CVE-2026-82602Średnie
W SeaCMS do wersji 13.6 wykryto podatność na obejście autoryzacji w pliku /ass.php. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony.
- CVE-2026-82601Średnie
W SeaCMS do wersji 13.6 wykryto podatność na cross-site scripting (XSS) w pliku /err.php. Manipulacja argumentem errtxt umożliwia zdalny atak. Exploit jest publicznie dostępny.
- CVE-2026-82600Wysokie
Podatność w SeaCMS do wersji 13.6 w pliku /zyapi.php?ac=videolist pozwala na wstrzyknięcie SQL przez argument ids. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-82599Średnie
W SeaCMS do wersji 13.6 wykryto podatność na path traversal w funkcji unlink w pliku /member.php?action=chgpwdsubmit w komponencie Avatar Upload. Manipulacja argumentem oldpic umożliwia zdalny atak. Exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in SeaCMS up to 13.6. This impacts the function parseIf of the file seacms_locoy_news.php of the component Locoy Collector. The manipulation of the argument pwd leads to code injection. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used.