Craft CMS Seite 5

Craft CMS ist von Version 5.6.0 bis vor 5.9.13 für eine Remote-Code-Execution-Schwachstelle anfällig, die von jedem authentifizierten Benutzer mit Zugriff auf das Control Panel ausgenutzt werden kann. Es handelt sich um eine Umgehung eines früheren Fixes: Die bestehenden Patches fügten cleanseConfig() in assembleLayoutFromPost() und diverse FieldsController-Aktionen ein, um mit „as“ und „on“ präfigierte Yii2-Behavior-/Event-Injection-Schlüssel zu entfernen. Der Parameter fieldLayouts in ElementIndexesController::actionFilterHud() wird jedoch ohne diese Bereinigung direkt an FieldLayout::createFromConfig() übergeben, wodurch dieselbe Angriffskette erneut möglich ist. Die Schwachstelle ist in Version 5.9.13 behoben. CVSS-Basiswert: 7.2 (Hoch).

SimplePress CMS 1.0.7 enthält eine SQL-Injection-Schwachstelle, die es nicht authentifizierten Angreifern erlaubt, über die Parameter p und s beliebige SQL-Abfragen auszuführen. Angreifer können GET-Anfragen mit präparierten SQL-Payloads senden, um sensible Datenbankinformationen wie Benutzernamen, Datenbanknamen und Versionsdetails auszulesen. CVSS-Basiswert: 8.2 (Hoch).

In MuraCMS bis Version 10.1.10 erlaubt eine CSRF-Schwachstelle beim Formularimport Angreifern, über einen Cross-Site-Request-Forgery-Angriff schädliche Formulardefinitionen hochzuladen und zu installieren. Die Funktion cForm.importform prüft kein CSRF-Token, sodass schädliche Websites gefälschte Upload-Anfragen stellen können, die beim Besuch durch einen authentifizierten Administrator angreifergesteuerte Formulare installieren. CVSS-Basiswert: 8.8 (Hoch).

MuraCMS bis Version 10.1.10 enthält eine CSRF-Schwachstelle in der Funktion Add To Group der Benutzerverwaltung. Da die Funktion kein CSRF-Token prüft und die Parameter userId und groupId direkt verarbeitet, können Angreifer über eine präparierte Seite beliebige Benutzer beliebigen Gruppen zuordnen und so Privilegien horizontal wie vertikal ausweiten. Ein Hinzufügen zur Gruppe der Super Admins ist dabei nicht möglich. CVSS-Basiswert: 8.0 (Hoch).

In MuraCMS bis Version 10.1.10 erlaubt laut NVD eine CSRF-Schwachstelle in der Funktion cTrash.restore Angreifern, gelöschte Inhalte an nicht autorisierte Orte wiederherzustellen, weil eine CSRF-Token-Prüfung fehlt. Besucht ein authentifizierter Administrator eine präparierte Webseite, sendet sein Browser automatisch ein verstecktes Formular, das Inhalte an einen vom Angreifer über den Parameter parentid bestimmten Ort wiederherstellt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

MuraCMS bis einschliesslich Version 10.1.10 enthält eine CSRF-Schwachstelle, über die Angreifer sämtliche im Papierkorb liegenden gelöschten Inhalte dauerhaft vernichten können. Der verwundbaren Funktion cTrash.empty fehlt die CSRF-Token-Prüfung, sodass eine bösartige Webseite eine Anfrage fälschen kann, die beim Besuch durch einen authentifizierten Administrator ohne Bestätigung oder Zustimmung den gesamten Papierkorb leert. Eine erfolgreiche Ausnutzung kann zu einem potenziell katastrophalen Datenverlust führen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: betroffene Software gemäss Hersteller-Advisory aktualisieren.

In MuraCMS bis Version 10.1.10 besteht eine CSRF-Schwachstelle bei der Aktualisierung von Adressdaten. Die betroffene Funktion cUsers.updateAddress prüft kein CSRF-Token, wodurch bösartige Webseiten gefälschte Anfragen erzeugen können, die Adressinformationen von Nutzern hinzufügen, ändern oder löschen, sobald ein authentifizierter Administrator eine präparierte Seite besucht. Ein automatisch übermitteltes, verstecktes Formular kann so bösartige Adressen mit vom Angreifer kontrollierten E-Mail-Adressen und Telefonnummern anlegen, bestehende Adressen zur Umleitung von Kommunikation ändern oder legitime Adressdatensätze löschen und dadurch Geschäftsabläufe stören. Dies kann zu fehlgeleiteter sensibler Kommunikation, Verletzung der Nutzerprivatsphäre sowie Social-Engineering-Angriffen über die manipulierten Adressdaten führen. CVSS-Basiswert: 7.1 (Hoch).

In Craft CMS Version 5.6.0 bis vor 5.9.11 übergibt der EntryTypesController das aus parse_str stammende $settings-Array ungefiltert an Craft::configure(), ohne die Bereinigung durch Component::cleanseConfig() zu durchlaufen. Dadurch können Angreifer mit Administratorrechten im Craft-Control-Panel über die Präfixe „as“ oder „on“ eigene Yii2-Behavior- beziehungsweise Event-Handler einschleusen, sofern allowAdminChanges aktiviert ist. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 5.9.11.

Craft CMS, ein Content-Management-System, enthält von Version 4.0.0-RC1 bis vor 4.17.5 sowie von 5.0.0-RC1 bis vor 5.9.11 eine Behavior-Injection-Schwachstelle mit Remote-Code-Execution in ElementIndexesController und FieldsController. Voraussetzung ist, dass der Angreifer Administratorrechte im Control Panel besitzt und allowAdminChanges aktiviert ist. Die Lücke ist in den Versionen 4.17.5 und 5.9.11 behoben. CVSS-Basiswert: 7.2 (Hoch).

In Craft CMS vor den Versionen 5.9.9 und 4.17.4 besteht im Bedingungssystem (conditions) eine Schwachstelle zur Remote Code Execution. Die Methode BaseElementSelectConditionRule::getElementIds() leitet benutzergesteuerte Eingaben an eine ungesicherte Twig-Rendering-Funktion (renderObjectTemplate) mit deaktiviertem Escaping weiter. Jeder authentifizierte Control-Panel-Benutzer – auch ohne Admin-Rechte – kann darüber beliebigen Code ausführen und dabei die Härtungseinstellungen umgehen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 5.9.9 oder 4.17.4.

Dem Endpunkt ElementSearchController::actionSearch() von Craft CMS fehlt der unset()-Schutz, der zu ElementIndexesController hinzugefügt wurde (CVE-2026-25495). Dieselbe SQL-Injection funktioniert daher weiterhin: Jeder authentifizierte Control-Panel-Benutzer (ohne Admin-Rechte) kann über criteria[where], criteria[orderBy] oder andere Query-Eigenschaften beliebiges SQL einschleusen und per Boolean-basierter Blind-Injection den gesamten Datenbankinhalt auslesen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 5.9.9.

In Umbraco CMS können authentifizierte Backoffice-Nutzer mit Berechtigung zur Benutzerverwaltung ab Version 15.3.1 bis vor 16.5.1 beziehungsweise 17.2.2 unter bestimmten Bedingungen ihre Rechte ausweiten. Ursache ist eine unzureichende Autorisierungsprüfung beim Ändern von Benutzergruppen-Mitgliedschaften, wodurch nicht korrekt validiert wird, ob ausreichende Berechtigungen zur Zuweisung hoch privilegierter Rollen vorliegen. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 16.5.1 beziehungsweise 17.2.2.

In Tiandy Easy7 CMS Windows 7.17.0 wurde laut Quelle eine Schwachstelle in der Datei /Easy7/apps/WebService/GetDBData.jsp entdeckt. Die Manipulation des Parameters strTBName führt zu SQL-Injection. Der Angriff kann remote ausgeführt werden, ein Exploit ist öffentlich verfügbar. Der Hersteller wurde laut Quelle frühzeitig kontaktiert, reagierte jedoch nicht. CVSS-Basiswert: 7.3 (Hoch).

In Craft CMS kann die GraphQL-Direktive @parseRefs, die eigentlich interne Referenz-Tags wie {user:1:email} auflösen soll, vor den Versionen 4.17.0-beta.1 und 5.9.0-beta.1 sowohl von authentifizierten Nutzern als auch von nicht angemeldeten Gästen bei aktiviertem Public Schema missbraucht werden. Die Implementierung in Elements::parseRefs führt keine Autorisierungsprüfung durch, sodass Angreifer auf sensible Attribute beliebiger Elemente im CMS zugreifen können, für die sie keine Berechtigung besitzen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 4.17.0-beta.1 beziehungsweise 5.9.0-beta.1 einspielen.

In Craft CMS 5.8.21 ermöglicht eine Server-Side Template Injection über die Twig-Funktion create() in Kombination mit einer Symfony-Process-Gadget-Chain einem authentifizierten Administrator Remote Code Execution. Die Funktion create() legt Craft::createObject() offen, wodurch beliebige PHP-Klassen mit Konstruktor-Argumenten instanziiert werden können; zusammen mit der mitgelieferten Abhängigkeit symfony/process ergibt sich daraus RCE. Laut Quelle umgeht dies die für CVE-2025-57811 implementierte Korrektur (behoben in 5.8.7). CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 5.9.0-beta.1 beziehungsweise 4.17.0-beta.1.

In Craft CMS lässt sich vor den Versionen 5.8.22 und 4.16.18 über den Twig-Map-Filter in Textfeldern, die Twig-Eingaben akzeptieren – etwa unter Settings oder im System-Messages-Utility des Control Panels – ein bösartiger Payload erzeugen, der zu Remote Code Execution führt. Voraussetzung ist entweder Administratorzugriff mit aktiviertem allowAdminChanges oder ein Konto ohne Administratorrechte mit Zugriff auf das System-Messages-Utility. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 5.8.22 beziehungsweise 4.16.18.

Concrete CMS vor Version 9.4.8 ist über den Express Entry List Block anfällig für Remote Code Execution durch gespeicherte PHP-Objekt-Injection: Über den Parameter columns kann ein authentifizierter Administrator angreiferkontrollierte serialisierte Daten in Blockkonfigurationsfeldern speichern, die später ohne Klassenbeschränkung oder Integritätsprüfung an unserialize() übergeben werden. Das Concrete-CMS-Sicherheitsteam bewertet die Lücke zusätzlich mit einem CVSS-v4.0-Wert von 8.9. CVSS-Basiswert: 7.2 (Hoch).

In MaxSite CMS bis einschliesslich Version 109.1 erlaubt die eval-Funktion im MarkItUp-Preview-AJAX-Endpunkt (preview-ajax.php) eine Code Injection. Der Angriff kann remote ausgeführt werden, ein Exploit wurde bereits veröffentlicht. CVSS-Basiswert: 7.3 (Hoch). Empfohlene Massnahme: Update auf Version 109.2.

GetSimple CMS schützt sensible Verzeichnisse wie /data/ und /backups/ ausschliesslich über .htaccess-Dateien. Ist Apache AllowOverride deaktiviert, was in gehärteten oder Shared-Hosting-Umgebungen verbreitet ist, greifen diese Schutzmassnahmen still nicht mehr, sodass nicht authentifizierte Angreifer sensible Dateien wie authorization.xml auflisten und herunterladen können. Diese Datei enthält kryptografische Salts und API-Schlüssel. Zum Zeitpunkt der Veröffentlichung existiert kein Fix für dieses Problem. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht in den Quelldaten vor.

GetSimple CMS ist ein Content-Management-System. Alle Versionen von GetSimple CMS weisen einen Fehler in der Uploaded-Files-Funktion auf, der beliebiges Auslesen von Dateien (Arbitrary File Read) ermöglicht. Das Problem war zum Zeitpunkt der Veröffentlichung noch nicht behoben. CVSS-Basiswert: 7.5 (Hoch).

In Craft CMS 4.0.0-RC1 bis 4.16.17 und 5.0.0-RC1 bis 5.8.21 ist der Endpunkt element-indexes/get-elements über den Parameter criteria[orderBy] für SQL-Injection anfällig. Ein Angreifer mit Control-Panel-Zugriff kann beliebiges SQL in die ORDER-BY-Klausel einschleusen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 4.16.18 oder 5.8.22.

Craft ist eine Plattform zur Erstellung digitaler Erlebnisse. In Craft-Versionen von 4.0.0-RC1 bis vor 4.17.0-beta.1 und 5.9.0-beta.1 besteht in der GraphQL-API eine Schwachstelle zur Privilegienerweiterung, die es einem authentifizierten Nutzer mit Schreibzugriff auf ein Asset-Volume erlaubt, Rechte auszuweiten und Assets beliebiger anderer Volumes zu ändern oder zu übertragen. Die GraphQL- Mutation saveAsset prüft die Autorisierung gegen das schema-aufgelöste Volume, ruft das Ziel-Asset jedoch per ID ab, ohne zu verifizieren, dass es zum autorisierten Volume gehört. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf 4.17.0-beta.1 oder 5.9.0-beta.1.

In Craft CMS versagt die Funktion assembleLayoutFromPost() in src/services/Fields.php bei den Versionen 4.0.0-RC1 bis 4.16.17 sowie 5.0.0-RC1 bis 5.8.21 dabei, benutzerseitig übergebene Konfigurationsdaten zu bereinigen, bevor sie an Craft::createObject() weitergegeben werden. Authentifizierte Administratoren können dadurch bösartige Yii2-Behavior-Konfigurationen einschleusen, die beliebige Systembefehle auf dem Server ausführen; die Lücke ist eine ungepatchte Variante der in CVE-2025-68455 behobenen Schwachstelle über einen separaten Codepfad. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 5.8.22.

Monstra CMS v3.0.4 enthält eine Schwachstelle für beliebige Datei-Uploads im Files-Manager-Plugin. Die Anwendung setzt auf eine blacklist-basierte Prüfung der Dateiendungen und speichert hochgeladene Dateien direkt in einem über das Web erreichbaren Verzeichnis. Unter typischen Serverkonfigurationen kann ein Angreifer dadurch Dateien hochladen, die als ausführbarer Code interpretiert werden, was zu Remote Code Execution führt. CVSS-Basiswert: 8.8 (Hoch).

Victor CMS 1.0 enthält eine authentifizierte Datei-Upload-Schwachstelle, die es Administratoren erlaubt, über den Parameter user_image PHP-Dateien mit beliebigem Inhalt hochzuladen. Angreifer können eine bösartige PHP-Shell in das Verzeichnis /img/ hochladen und Systembefehle ausführen. CVSS-Basiswert: 8.8 (Hoch).

Victor CMS in Version 1.0 enthält in post.php eine SQL-Injection-Schwachstelle über den Parameter post, die es entfernten Angreifern erlaubt, Datenbankabfragen zu manipulieren. Über gezielt gestaltete UNION-SELECT-Payloads lassen sich Datenbankinformationen mittels Boolean-, Error- und Time-based-Techniken extrahieren. CVSS-Basiswert: 8.2 (Hoch).

Victor CMS 1.0 enthält eine Stored-Cross-Site-Scripting-Schwachstelle im POST-Parameter comment_author des Kommentarformulars. Angreifer können darüber präparierte JavaScript-Payloads einschleusen, die im Browser von Besuchern ausgeführt werden. CVSS-Basiswert: 7.2 (Hoch).

Simple CMS 2.1 enthält eine entfernt ausnutzbare SQL-Injection-Schwachstelle, über die privilegierte Angreifer ungefilterte SQL-Befehle im Benutzer-Modul einschleusen können. Durch nicht validierte Eingabeparameter in der Datei admin.php lassen sich das Datenbankmanagementsystem und die Webanwendung kompromittieren. CVSS-Basiswert: 8.1 (Hoch).

Navigate CMS 2.8.7 enthält eine authentifizierte SQL-Injection-Schwachstelle über den Parameter sidx in Kommentaren, mit der Angreifer Datenbankinformationen auslesen können. Mittels zeitbasierter Blind-SQL-Injection lassen sich laut Quelle Aktivierungsschlüssel von Benutzerkonten extrahieren, was potenziell einen Passwort-Reset für administrative Konten ermöglicht. CVSS-Basiswert: 7.1 (Hoch).

Victor CMS 1.0 enthält eine Datei-Upload-Schwachstelle, über die authentifizierte Nutzer beim Hochladen des Profilbilds schaedliche PHP-Dateien in das Verzeichnis /img ablegen können. Durch anschliessenden Aufruf der hochgeladenen Datei im Browser lassen sich Systembefehle ausführen. CVSS-Basiswert: 8.8 (Hoch).

WBCE CMS in Version 1.5.2 enthält eine authentifizierte Schwachstelle zur Ausführung von beliebigem Code. Angreifer mit gültigem Zugang können über die Droplet-Upload-Funktion im Admin-Bereich beliebigen PHP-Code anlegen und ausführen, indem sie eine speziell präparierte ZIP-Datei hochladen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine bereinigte Version aktualisieren und den Zugang zum Admin-Bereich einschränken.

In BiggiDroid Simple PHP CMS 1.0 wurde im Admin-Login (Datei /admin/login.php) eine unbekannte Funktion identifiziert, bei der eine Manipulation des Arguments Username zu einer SQL-Injection führen kann. Der Angriff kann remote ausgeführt werden. CVSS-Basiswert: 7.3 (Hoch). Ein Exploit für diese Schwachstelle wurde laut Quelle öffentlich zugänglich gemacht und könnte für Angriffe genutzt werden.

Webedition CMS Version 2.9.8.8 enthält eine Remote-Code-Execution- Schwachstelle: Authentifizierte Angreifer können über die PHP- Seitenerstellung Systembefehle einschleusen. Durch das Anlegen einer neuen PHP-Seite mit bösartigen Systembefehlen im Beschreibungsfeld können Angreifer beliebige Befehle auf dem Server ausführen. CVSS-Basiswert: 7.2 (Hoch).

Blackcat CMS 1.4 enthält eine Schwachstelle im jQuery-Plugin-Manager, über die authentifizierte Administratoren bösartige PHP-Dateien hochladen können. Angreifer können eine ZIP-Datei mit einer PHP-Shell hochladen und durch Zugriff auf die Datei des installierten Plugins mit einem code-Parameter beliebige Systembefehle ausführen. CVSS-Basiswert: 7.2 (Hoch).

CSZCMS 1.3.0 enthält eine authentifizierte SQL-Injection in der Members-View-Funktion, über die authentifizierte Angreifer Datenbankabfragen manipulieren können. Durch Einschleusen von SQL-Code über den Parameter view lassen sich zeitbasierte Blind-SQL-Injection-Angriffe durchführen und Informationen aus der Datenbank auslesen. CVSS-Basiswert: 8.8 (Hoch).

WBCE CMS in Version 1.6.3 und früher enthält eine authentifizierte Schwachstelle zur Remotecodeausführung, die es Administratoren erlaubt, bösartige Module hochzuladen. Angreifer können ein speziell präpariertes ZIP-Modul mit eingebettetem PHP-Reverse-Shell-Code erstellen, um bei dessen Installation Zugriff auf das System zu erhalten. CVSS-Basiswert: 8.8 (Hoch).

LeptonCMS Version 7.3.0 enthält laut NVD eine Schwachstelle für beliebige Datei-Uploads, verursacht durch fehlende Validierung hochgeladener Dateien. Ein authentifizierter Angreifer kann durch Hochladen einer speziell präparierten ZIP- bzw. PHP-Datei beliebigen Code ausführen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine korrigierte Version aktualisieren und Datei-Uploads streng validieren.

WBCE CMS ist ein Content-Management-System. Version 1.6.4 enthält eine Umgehung des Brute-Force-Schutzes: Ein Angreifer kann den Zähler durch Ändern des X-Forwarded-For-Headers bei jeder Anfrage unbegrenzt zurücksetzen und so beliebig viele Passwortversuche unternehmen. Die Anwendung vertraut dem X-Forwarded-For-Header vollständig, ohne ihn zu validieren. Das Problem ist in Version 1.6.5 behoben. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Update auf Version 1.6.5.

Die Aimeos-GrapesJS-CMS-Erweiterung, ein Seiteneditor für die Erstellung von Content-Seiten aus erweiterbaren Komponenten, erlaubt böswilligen Editoren das Einschleusen von JavaScript-Code für einen Stored-XSS-Angriff, sofern die standardmässige Content-Security-Policy deaktiviert ist. Betroffen sind Versionen vor 2021.10.8, 2022.10.8, 2023.10.8, 2024.10.8 und 2025.10.8. CVSS-Basiswert: 7.6 (Hoch). Empfohlene Massnahme: Update auf die jeweils genannte Fix-Version.

Lvzhou CMS ist vor Commit c4ea0eb9cab5f6739b2c87e77d9ef304017ed615 (2025-09-22) anfällig für SQL-Injection über den Parameter title in com.wanli.lvzhoucms.service.ContentService#findPage. Der Parameter wird ohne Bereinigung oder Prepared Statements direkt in eine dynamische SQL-Abfrage eingefügt, wodurch Angreifer sensible Daten aus der Datenbank auslesen können. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf einen Stand nach dem genannten Commit einspielen.

In SourceCodester Company Website CMS 1.0 erlaubt der Parameter email in der Datei /admin/reset-password.php eine SQL-Injection. Die Schwachstelle ist laut NVD remote ausnutzbar, ein Exploit-Code ist öffentlich verfügbar. CVSS-Basiswert: 7.3 (Hoch).

In SourceCodester Company Website CMS 1.0 kann der Parameter Username in der Datei /admin/index.php für eine SQL-Injection missbraucht werden. Die Attacke ist remote möglich, ein öffentlicher Exploit liegt vor. CVSS-Basiswert: 7.3 (Hoch).

In WBCE CMS vor Version 1.6.4 kann ein Nutzer mit geringen Rechten seine Rechte bis zur Administratorengruppe ausweiten, indem er den Parameter groups[] in der Anfrage /admin/users/save.php manipuliert. Die Oberfläche beschränkt Nutzer zwar auf ihre bestehende Gruppe, serverseitig fehlt jedoch die Validierung, sodass Angreifer ihre Gruppenmitgliedschaft überschreiben und volle administrative Rechte erlangen können. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Update auf Version 1.6.4.

Windu CMS implementiert laut NVD einen schwachen clientseitigen Schutz gegen Brute-Force-Angriffe über den Parameter loginError: Informationen zu Versuchszahl oder Sperrzeit werden nicht serverseitig gespeichert, wodurch ein Angreifer den Schutz durch Zurücksetzen dieses Parameters umgehen kann. Getestet und bestätigt wurde die Schwachstelle in Version 4.1; behoben ist sie in Version 4.1 Build 2250. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 4.1 Build 2250.

In QuickCMS Version 6.8 sind sensible Admin-Zugangsdaten hartkodiert in einer Konfigurationsdatei hinterlegt und im Klartext gespeichert. Angreifer mit Zugriff auf den Quellcode oder das Server-Dateisystem können dadurch Authentifizierungsdaten auslesen, was zu einer Rechteausweitung führen kann. Der Hersteller wurde laut Quelldaten frühzeitig informiert, reagierte jedoch nicht mit Angaben zu Details oder betroffenen Versionsbereichen; bestätigt und getestet wurde ausschliesslich Version 6.8, weitere Versionen könnten ebenfalls betroffen sein. CVSS-Basiswert: 7.5 (Hoch).

In tQuadra CMS 4.2.1117 besteht eine Local-File-Inclusion-Schwachstelle im Pfad /styles/, der von der Anwendung nicht ausreichend gegen benutzergesteuerte Eingaben abgesichert wird. Ein Angreifer kann durch eine präparierte GET-Anfrage beliebige Dateien vom zugrundeliegenden System auslesen. CVSS-Basiswert: 7.5 (Hoch).

Die unzureichende Neutralisierung von Eingaben eines berechtigten Benutzers in der Funktion zur Artikel-Positionierung ermöglicht Blind-SQL-Injection-Angriffe. Betroffen sind die drei Templates www, bip und ww+bip. Das Produkt hat das End-of-Life erreicht, der Hersteller veröffentlicht keine Patches für diese Schwachstelle. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Das betroffene Produkt ablösen oder dessen Erreichbarkeit strikt einschränken.

Eine unzureichende Neutralisierung von Eingaben eines autorisierten Nutzers in der Funktion zur Artikelpositionierung ermöglicht Blind-SQL-Injection-Angriffe. Betroffen sind alle drei Templates (www, bip und ww+bip). CVSS-Basiswert: 8.8 (Hoch). Das Produkt hat sein Support-Ende erreicht; der Hersteller wird keine Patches für diese Schwachstelle veröffentlichen.

Die PAD-CMS-Software initialisiert laut NVD einen für die Passwort-Wiederherstellung verwendeten Parameter fehlerhaft. Dies erlaubt es, das Passwort eines beliebigen Benutzers zu ändern, der die Passwort-Reset-Funktion nicht genutzt hat – betroffen sind alle drei Templates www, bip und www+bip. Das Produkt hat laut Quelle das End-of-Life erreicht; der Hersteller wird für diese Schwachstelle keine Patches mehr veröffentlichen. CVSS-Basiswert: 7.5 (Hoch).

In Craft CMS (Versionen 4.0.0-RC1 bis 4.16.5 sowie 5.0.0-RC1 bis 5.8.6) besteht eine mögliche Remote-Code-Execution-Schwachstelle über Server-Side Template Injection (SSTI) in der Twig-Engine. Es handelt sich um eine Nachfolge-Lücke zu CVE-2024-52293. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Update auf Version 4.16.6 bzw. 5.8.7.