CVE-2025-23209

Potential RCE with a compromised security key in craft/cms

Αξιοποιήθηκε σε επιθέσεις Υψηλή 8,1 Πιθανότητα επίθεσης: 22%

Κοινοποίηση

Τι είναι

Craft is a flexible, user-friendly CMS for creating custom digital experiences on the web and beyond. This is an remote code execution (RCE) vulnerability that affects Craft 4 and 5 installs where your security key has already been compromised. Anyone running an unpatched version of Craft with a compromised security key is affected. This vulnerability has been patched in Craft 5.5.8 and 4.13.8. Users who cannot update to a patched version, should rotate their security keys and ensure their privacy to help migitgate the issue.

CISA: Craft CMS contains a code injection vulnerability caused by improper validation of the database backup path, ultimately enabling remote code execution.

Τι να κάνετε

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 13 Μαρτίου 2025

Προστέθηκε στη λίστα της CISA: 20 Φεβρουαρίου 2025
Δημοσιεύθηκε: 18 Ιανουαρίου 2025
Σοβαρότητα: Υψηλή 8,1 CVSS 3.1
Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS): 22% στο κορυφαίο 2,4% όλων των γνωστών ευπαθειών
Τύπος αδυναμίας: CWE-94
Περισσότερες λεπτομέρειες: NVD · CVE.org · CISA

Όλες οι πηγές (3)

Περισσότερα κενά ασφαλείας της Craft CMS που αξιοποιούνται

Προστέθηκε	Ευπάθεια	Προϊόν	Σοβαρότητα	Πιθανότητα επίθεσης
20 Μαρ 2026	Code InjectionCVE-2025-32432	Craft CMS	Κρίσιμη 10,0	99,8%
2 Ιουν 2025	Code InjectionCVE-2024-56145	Craft CMS	Κρίσιμη 9,3	97%
2 Ιουν 2025	External Control of Assumed-Immutable Web ParameterCVE-2025-35939	Craft CMS	Μέτρια 6,9	1,3%

Όλοι →

Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.