Plataforma
php
Componente
native-php-cms
Corregido en
1.0.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en native-php-cms, específicamente en la versión 1.0. Esta falla permite a un atacante inyectar scripts maliciosos en la aplicación, potencialmente comprometiendo la confidencialidad e integridad de los datos del usuario. La vulnerabilidad reside en el archivo /fladmin/jump.php y ha sido divulgada públicamente. La actualización a la versión 1.0.1 soluciona este problema.
La vulnerabilidad XSS en native-php-cms permite a un atacante ejecutar código JavaScript arbitrario en el navegador de un usuario que visite una página comprometida. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos o la modificación del contenido de la página web. Un atacante podría explotar esta vulnerabilidad para obtener acceso no autorizado a cuentas de usuario, robar información confidencial o realizar acciones en nombre del usuario. El impacto se amplifica si la aplicación se utiliza para procesar información sensible o si tiene una gran base de usuarios.
Esta vulnerabilidad ha sido divulgada públicamente, lo que aumenta el riesgo de explotación. No se ha identificado un puntaje EPSS, pero la divulgación pública sugiere una probabilidad de explotación moderada. No se han reportado campañas de explotación activas conocidas al momento de la publicación. La vulnerabilidad fue publicada el 15 de enero de 2025.
Websites and applications utilizing native-php-cms version 1.0 are at risk. This includes small businesses, personal blogs, and any other online platform relying on this CMS. Shared hosting environments are particularly vulnerable as they often have limited control over CMS updates and security configurations.
• php: Examine the /fladmin/jump.php file for unsanitized usage of the 'message/error' parameter. Look for instances where user input is directly outputted to the browser without proper encoding.
• generic web: Monitor web server access logs for requests to /fladmin/jump.php with unusual or suspicious parameters in the 'message/error' field.
• generic web: Use curl to test the endpoint: curl 'http://your-cms-url/fladmin/jump.php?message/error=<script>alert(1)</script>' and observe the response for signs of XSS execution.
disclosure
Estado del Exploit
EPSS
0.36% (58% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para CVE-2025-0483 es actualizar native-php-cms a la versión 1.0.1, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el archivo /fladmin/jump.php. Además, se puede considerar el uso de un Web Application Firewall (WAF) para bloquear solicitudes maliciosas que intenten explotar esta vulnerabilidad. Después de la actualización, confirme la mitigación revisando los logs del servidor en busca de intentos de inyección de scripts.
Actualizar a una versión parcheada o aplicar una solución para evitar la inyección de código XSS en el parámetro message/error del archivo jump.php. Escapar o validar las entradas del usuario es crucial para prevenir este tipo de vulnerabilidades. Si no hay parche disponible, considere deshabilitar o eliminar el componente afectado.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-0483 is a cross-site scripting vulnerability in native-php-cms version 1.0 affecting the /fladmin/jump.php file. Attackers can inject malicious scripts via the 'message/error' parameter.
Yes, if you are running native-php-cms version 1.0, you are vulnerable. Upgrade to version 1.0.1 or later to mitigate the risk.
Upgrade native-php-cms to version 1.0.1 or later. As a temporary workaround, implement input validation and output encoding on the 'message/error' parameter.
While no active campaigns have been confirmed, the vulnerability has been publicly disclosed, increasing the risk of exploitation. Prompt remediation is recommended.
Refer to the native-php-cms project's official website or repository for the latest security advisories and updates related to CVE-2025-0483.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.