CVE-2026-92381
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
W PbootCMS do wersji 3.2.22 zidentyfikowano słabość w funkcji decode_string pliku apps/admin/controller/content/ContentController.php w komponencie Template Rendering. Manipulacja argumentem Title powoduje cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie udostępniony i może być wykorzystany.
Ocena ryzyka
Zdalny atakujący może wstrzyknąć złośliwy skrypt wykonywany w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub modyfikacji treści.
Rekomendacja
Zaktualizuj PbootCMS do wersji nowszej niż 3.2.22, jeśli jest dostępna, oraz zastosuj walidację i kodowanie argumentu Title. Ogranicz dostęp do panelu administracyjnego.
Inne podatności w PbootCMS
Zobacz wszystkie- CVE-2026-92383Średnie
Podatność CSRF w PbootCMS do wersji 3.2.24 w funkcjach UserController::del i UserController::mod w komponencie zarządzania użytkownikami. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 3.2.25 rozwiązuje problem.
- CVE-2026-67960Krytyczne
Problem w PbootCMS w wersji 3.2.15 pozwala atakującemu na wykonanie dowolnego kodu poprzez komponenty MemberController.php, UserController.php, CommentController.php, ContentController.php oraz helper.php.
- CVE-2023-39834Krytyczne
W PbootCMS w wersjach poniżej 3.2.0 odkryto podatność na wstrzykiwanie poleceń poprzez funkcję create_function.
- CVE-2026-79387Średnie
Podatność na iniekcję SQL w PbootCMS w wersjach od 3.2.0 do 3.2.5 pozwala uwierzytelnionemu użytkownikowi na modyfikację dowolnych pól kont użytkowników (w tym haseł i ról) poprzez spreparowane parametry do interfejsu User/mod, co umożliwia przejęcie konta.
- CVE-2026-36239Średnie
PbootCMS w wersji 3.2.11 zawiera podatność na wstrzykiwanie kodu w funkcji konfiguracji strony.
- CVE-2020-20363Średnie
W systemie PbootCMS w wersji 2.0.3 wykryto podatność na atak typu Cross-Site Scripting (XSS) w pliku admin.php. Umożliwia ona atakującemu wstrzyknięcie złośliwego kodu JavaScript do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in PbootCMS up to 3.2.22. This affects the function decode_string of the file apps/admin/controller/content/ContentController.php of the component Template Rendering. This manipulation of the argument Title causes cross site scripting. The attack is possible to be carried out remotely. The exploit has been made available to the public and could be used for attacks. The reported GitHub issue was closed with the reason "completed".
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS