Podatności SeaCMS

SeaCMS w wersji 6.56 pozwala zdalnie uwierzytelnionym administratorom na wykonanie dowolnego kodu PHP poprzez spreparowane pole token w pliku admin/admin_ping.php, które współdziała z data/admin/ping.php.

SeaCMS V13.1 zawiera podatność związaną z nieprawidłową kontrolą dostępu. Błąd logiczny umożliwia atakującemu dowolne, nieograniczone doładowywanie kont członkowskich.

W SeaCMS w wersji 12.9 wykryto podatność w komponencie admin_safe.php, która umożliwia atakującemu zdalne wykonanie dowolnych poleceń systemowych.

W systemie SeaCMS przed wersją 13.2 wykryto podatność na atak typu Cross-Site Scripting (XSS) poprzez parametr 'vid' w skrypcie Upload/js/player/dmplayer/player. Umożliwia ona zdalnemu atakującemu wstrzyknięcie złośliwego kodu JavaScript do strony.

W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_files.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.

W SeaCMS v13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_ip.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.

W SeaCMS 13.3 wykryto podatność umożliwiającą odczyt dowolnego pliku przez funkcję file_get_contents w pliku admin_safe_file.php.

W SeaCMS 13.3 wykryto podatność umożliwiającą odczyt dowolnego pliku przez funkcję file_get_contents w pliku admin_safe.php.

W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_smtp.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.

W SeaCMS v13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_template.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.

W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_ping.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.

W SeaCMS v13.3 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie admin_notify.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.

W SeaCMS w wersji 13.3 odkryto podatność zdalnego wykonania kodu (RCE) poprzez parametr isopen w pliku admin_weixin.php. Atakujący może wysłać specjalnie spreparowane żądanie HTTP, aby wykonać dowolny kod na serwerze.

SeaCms 13.1 zawiera podatność na wstrzykiwanie kodu w module powiadomień dla użytkowników backendu. Problem wynika z niebezpiecznego przetwarzania zmiennej 'notify' w pliku admin_notify.php.

Podatność w pliku admin_ip.php w Seacms v13.1, gdy akcja to 'set', umożliwia atakującym kontrolowanie parametrów IP, które są zapisywane do pliku data/admin/ip.php, co może prowadzić do wykonania dowolnych poleceń.

W SeaCMS v12.8 w komponencie admin_ Video.php występuje podatność na atak XSS (cross-site scripting). Umożliwia ona atakującemu wykonanie dowolnego skryptu lub wstrzyknięcie kodu HTML poprzez spreparowany atak.

W SeaCMS w wersji 12.9 odkryto podatność zdalnego wykonania kodu (RCE) w komponencie /augap/adminip.php. Atakujący może wykorzystać tę lukę do wykonania dowolnego kodu na serwerze.

Podatność CSRF w pliku admin_manager.php systemu Seacms do wersji 12.8 umożliwia atakującym dodanie dowolnego konta administratora bez autoryzacji.

W module konfiguracji witryny SEACMS v12.1 występuje podatność na przechowywane ataki XSS, która pozwala atakującym na wykonanie dowolnych skryptów webowych lub HTML za pomocą odpowiednio przygotowanego ładunku.