CVE-2026-91848
WysokieCVSS 7.3Streszczenie
W WuzhiCMS do wersji 4.1.0 zidentyfikowano lukę w funkcji article::getDataOfJson w pliku /index.php?m=content&f=article&v=getDataOfJson. Manipulacja argumentami title/master_table prowadzi do wstrzyknięcia SQL. Exploit jest publicznie dostępny i może być wykorzystany zdalnie.
Ocena ryzyka
Zdalny atakujący może wykorzystać publicznie dostępny exploit do wstrzyknięcia SQL, co może prowadzić do wycieku lub modyfikacji danych w bazie. Projekt nie odpowiedział na zgłoszenie problemu.
Rekomendacja
Ze względu na brak odpowiedzi projektu rozważ ograniczenie dostępu do podatnego endpointu lub wdrożenie własnej poprawki walidującej argumenty title/master_table. Monitoruj bazę danych pod kątem nietypowych zapytań.
Inne podatności w WuzhiCMS
Zobacz wszystkie- CVE-2026-91849Średnie
W WuzhiCMS do wersji 4.1.0 odkryto lukę w zabezpieczeniach. Dotyczy ona funkcji member::setAvatar w pliku /index.php?m=member&f=user&v=setAvatar komponentu Avatar Upload. Manipulacja argumentem File prowadzi do nieograniczonego przesyłania plików.
- CVE-2026-15530Średnie
W WuzhiCMS do wersji 4.1.0 stwierdzono podatność w komponencie Attachment API. Funkcja config/listimage w pliku /index.php?m=attachment&f=index&v=upload umożliwia manipulację prowadzącą do ujawnienia informacji. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
- CVE-2024-32206Średnie
W WUZHICMS v4.1.0 w komponencie /affiche/admin/index.php występuje podatność na trwałe XSS. Atakujący może wstrzyknąć złośliwy skrypt lub kod HTML przez parametr $formdata.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in WuzhiCMS up to 4.1.0. Affected by this issue is the function article::getDataOfJson of the file /index.php?m=content&f=article&v=getDataOfJson. The manipulation of the argument title/master_table leads to sql injection. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.