CVE-2026-90568
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
W moxi624 Mogu Blog v2 do wersji 5.2 wykryto podatność w funkcji BlogSortServiceImpl.addBlogSort w pliku mogu_web/src/main/resources/templates/info.ftl komponentu blogSort Endpoint. Manipulacja argumentem sortName prowadzi do cross site scripting, a atak można przeprowadzić zdalnie. Projekt został poinformowany o problemie, ale nie odpowiedział.
Ocena ryzyka
Cross site scripting może pozwolić atakującemu na wykonanie złośliwego skryptu w przeglądarce użytkownika, kradzież sesji lub danych. Ryzyko dotyczy użytkowników panelu administracyjnego.
Rekomendacja
Należy wdrożyć walidację i kodowanie danych wejściowych dla argumentu sortName. Do czasu wydania poprawki zaleca się ograniczenie dostępu do panelu administracyjnego.
Inne podatności w Mogu Blog
Zobacz wszystkie- CVE-2025-13816Średnie
W moxi159753 Mogu Blog v2 do wersji 5.2 wykryto podatność w funkcji FileOperation.unzip pliku /networkDisk/unzipFile komponentu ZIP File Handler. Manipulacja argumentem fileUrl prowadzi do przejścia ścieżki. Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być użyty. Producent został poinformowany, ale nie odpowiedział.
- CVE-2025-13815Średnie
W produkcie moxi159753 Mogu Blog v2 do wersji 5.2 wykryto słabość w nieznanej funkcji pliku /file/pictures. Manipulacja argumentem filedatas powoduje nieograniczone przesyłanie plików (unrestricted upload). Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2025-13813Średnie
W moxi159753 Mogu Blog v2 do wersji 5.2 wykryto podatność w pliku /storage/ komponentu Storage Management Endpoint. Manipulacja prowadzi do braku autoryzacji. Atak może być przeprowadzony zdalnie, ale złożoność ataku jest wysoka, a wykorzystanie trudne. Exploit jest publicznie dostępny i może być użyty. Producent został poinformowany, ale nie odpowiedział.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in moxi624 Mogu Blog v2 up to 5.2. This affects the function BlogSortServiceImpl.addBlogSort of the file mogu_web/src/main/resources/templates/info.ftl of the component blogSort Endpoint. The manipulation of the argument sortName results in cross site scripting. The attack can be launched remotely. The project was informed of the problem early through an issue report but has not responded yet.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS