CVE-2026-88414
Niskie ryzyko· EPSS 10%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
MCMS w wersjach od 6.1.1 do 6.2.1 zawiera podatność na wstrzyknięcie SQL w punkcie końcowym PageAction.verify (GET /ms/mdiy/page/verify.do).
Ocena ryzyka
Atakujący może wykonać dowolne zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia. Może to poważnie naruszyć poufność i integralność bazy danych.
Rekomendacja
Zaktualizuj MCMS do wersji nowszej niż 6.2.1 po udostępnieniu poprawki. Do tego czasu rozważ ograniczenie dostępu do punktu końcowego /ms/mdiy/page/verify.do.
Inne podatności w MCMS
Zobacz wszystkie- CVE-2026-68000Krytyczne
Interfejs /cms/category/list w MCMS <=6.2.0 jest podatny na wstrzykiwanie SQL. Parametr size jest bezpośrednio łączony z klauzulą LIMIT przez FreeMarker ${size} bez parametryzacji. Filtr SqlInjectionUtil nie blokuje słów kluczowych takich jak CREATE/TABLE/SET/PREPARE/EXECUTE, co pozwala na obejście i wykonanie złożonych zapytań SQL bez logowania.
- CVE-2025-29287Krytyczne
W komponencie ueditor systemu MCMS w wersji 5.4.3 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
- CVE-2026-88416Niskie ryzyko· EPSS 8%
MCMS w wersjach od 6.1.1 do 6.2.1 zawiera podatność SQL injection w funkcji importu niestandardowych modeli/formularzy.
- CVE-2026-88415Wysokie
MCMS w wersjach od 6.1.1 do 6.2.1 jest podatny na trwały atak Cross-Site Scripting (XSS). Pole zawartości artykułu `contentDetails` jest wyłączone z globalnego filtra XSS.
- CVE-2026-52203Wysokie
Podatność w MCMS w wersji 6.1.1 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez parametr source.
- CVE-2025-60837Średnie
W MCMS v6.0.1 wykryto podatność na odbity cross-site scripting (XSS). Umożliwia ona atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce ofiary poprzez spreparowany atak.
- CVE-2025-60838Średnie
W MCMS v6.0.1 wykryto podatność umożliwiającą dowolne przesyłanie plików. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu poprzez przesłanie spreparowanego pliku.
Oryginalny opis (angielski, źródło NVD)
MCMS 6.1.1 through 6.2.1 contains a SQL injection vulnerability in the PageAction.verify endpoint (GET /ms/mdiy/page/verify.do).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS