PT-2025-17203 · Foxcms · Foxcms

X1Lys · Publicado 2025-04-17 · Atualizado 2025-04-19 · CVE-2025-29180

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas FOXCMS versões 1.25 e anteriores

Descrição A questão envolve uma vulnerabilidade de injeção de SQL cega baseada em tempo no arquivo installdb.php. Os parâmetros POST url prefix, domain e my website são concatenados diretamente em instruções SQL sem filtragem.

Recomendações Para as versões 1.25 e anteriores do FOXCMS, como solução temporária, considere filtrar ou validar os parâmetros url prefix, domain e my website para prevenir ataques de injeção de SQL. No entanto, atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-29180

Produtos afetados

Foxcms

Referências · 7

• https://gist.github.com/X1lyS/5075ba1e6bebff26fcd58609493fd5f2 · Nota
• https://twitter.com/cybercronai/status/1913367444673998946 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1913455527209693587 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-29180 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-29180 · Aviso do Fabricante
• https://t.me/cvetracker/21862 · Publicação no Telegram
• https://t.me/cvedetector/23250 · Publicação no Telegram