PT-2025-53625 · Unknown+1 · Jackq Xcms+1

Formanagain · Publicado 2025-12-27 · Atualizado 2026-01-01 · CVE-2025-15109

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas jackq XCMS versões anteriores a 3fab5342cc509945a7ce1b8ec39d19f701b89261

Descrição Existe uma falha no jackq XCMS que permite o upload de arquivos sem restrições. Esta questão afeta uma função desconhecida dentro do arquivo Public/javascripts/admin/plupload-2.1.2/examples/upload.php. O ataque pode ser iniciado remotamente. O exploit para esta vulnerabilidade foi publicado. O software utiliza um modelo de lançamento contínuo, o que significa que detalhes específicos de versão para lançamentos afetados ou atualizados não estão disponíveis.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Improper Access Control

Unrestricted File Upload

Enumeração de Fraquezas

CWE-284

CWE-434

Identificadores relacionados

CVE-2025-15109

Produtos afetados

Jackq Xcms

Plupload

Referências · 12

• 🔥 https://gitee.com/jackq/XCMS/issues/IDC4ZT · Exploit
• https://t.me/CVEtracker/40746 · Publicação no Telegram
• https://twitter.com/vuldb/status/2005035346690777165 · Publicação no Twitter
• https://vuldb.com/?submit.711696 · Nota
• https://vuldb.com/?ctiid.338480 · Nota
• https://twitter.com/CVEnew/status/2005031793372635296 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-15109 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2005001720166818013 · Publicação no Twitter
• https://vuldb.com/?id.338480 · Nota
• https://twitter.com/cracbot/status/2006681856905982428 · Publicação no Twitter
• https://t.me/cveNotify/146946 · Publicação no Telegram
• https://gitee.com/jackq/XCMS · Nota