Podatności Microweber CMS
4 znanych podatności CVE w Microweber CMS, przetłumaczonych i ocenionych.
- CVE-2014-9464Wysokie
W Microweber CMS w wersji 0.95 przed 20141209 występuje podatność na wstrzykiwanie SQL w pliku Category.php, która pozwala zdalnym atakującym na wykonywanie dowolnych poleceń SQL poprzez parametr category.
- CVE-2026-67617Średnie
Microweber CMS do wersji 2.0.20 zawiera podatność na trwałe XSS w systemie tagowania treści. Uwierzytelniony atakujący może wstrzyknąć dowolny JavaScript przez parametr tag_names w endpoint GET /api/save_content_admin, omijając trzy niezależne mechanizmy sanityzacji. Wstrzyknięty skrypt wykonuje się bez interakcji użytkownika dla każdego odwiedzającego publiczną stronę bloga oraz w edytorze postów admina.
- CVE-2026-65693Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność na wstrzykiwanie szablonów po stronie serwera (SSTI). Uwierzytelniony administrator może uzyskać zdalne wykonanie poleceń systemu operacyjnego poprzez wstrzyknięcie wyrażeń Twig do szablonów poczty.
- CVE-2026-65694Wysokie
Microweber CMS do wersji 2.0.20 zawiera podatność path traversal w kontrolerze plików statycznych. Nieuwierzytelniony atakujący może odczytać dowolne pliki, podając sekwencje traversal w parametrze path.