Podatności ZKEACMS
3 znanych podatności CVE w ZKEACMS, przetłumaczonych i ocenionych.
- CVE-2026-111633Wysokie
ZKEACMS do wersji 4.4 zawiera podatność polegającą na obejściu uwierzytelniania, która pozwala nieuwierzytelnionym atakującym fałszować tokeny bearer JWT REST API przy użyciu zaszytego klucza podpisywania HMAC-SHA256 w JwtBearerDefaults.cs. Atakujący mogą podpisać token z roszczeniem Name ustawionym na 'admin', aby wywoływać endpointy ApiAuthorize, modyfikując artykuły i produkty oraz czytając przesłane formularze.
- CVE-2025-52239Krytyczne
Podatność umożliwiająca dowolne przesyłanie plików w ZKEACMS v4.1 pozwala atakującym na wykonanie dowolnego kodu poprzez spreparowany plik.
- CVE-2025-10471Średnie
W ZKEACMS 4.3 wykryto podatność w funkcji Proxy w pliku MediaController.cs. Manipulacja argumentem url prowadzi do podatności SSRF (Server-Side Request Forgery). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS