Plataforma
other
Componente
warehouse
Corregido en
2.0.1
2.1.1
2.2.1
2.3.1
2.4.1
2.5.1
2.6.1
2.7.1
2.8.1
2.9.1
2.10.1
2.11.1
2.12.1
2.13.1
2.14.1
2.15.1
2.16.1
2.17.1
2.18.1
2.19.1
2.20.1
2.21.1
2.22.1
2.23.1
2.24.1
2.25.1
2.26.1
2.27.1
2.28.1
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en xiweicheng TMS, afectando a las versiones desde 2.0 hasta 2.28.0. Esta falla permite a un atacante inyectar código malicioso a través de la manipulación del argumento 'content' en la función 'createComment' del archivo '/admin/blog/comment/create'. La explotación exitosa puede resultar en la ejecución de scripts maliciosos en el navegador de un usuario.
Un atacante puede aprovechar esta vulnerabilidad XSS para ejecutar scripts maliciosos en el contexto del usuario autenticado en xiweicheng TMS. Esto podría incluir el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido del sitio web o la ejecución de acciones en nombre del usuario. La naturaleza remota de la explotación significa que un atacante no necesita acceso directo al sistema para lanzar el ataque. La divulgación pública de la vulnerabilidad aumenta significativamente el riesgo de explotación, ya que facilita la creación y distribución de exploits.
Esta vulnerabilidad ha sido divulgada públicamente, lo que aumenta la probabilidad de explotación. La falta de respuesta del proveedor dificulta la obtención de información adicional sobre la explotación activa. Se recomienda monitorear los sistemas afectados para detectar cualquier actividad sospechosa. La vulnerabilidad fue publicada el 2025-12-17.
Organizations using xiweicheng TMS versions 2.0 through 2.28.0, particularly those with publicly accessible administrative interfaces, are at risk. Shared hosting environments where multiple users share the same TMS instance are also at increased risk, as a compromised user account could be used to exploit the vulnerability.
• generic web: Use curl to test the /admin/blog/comment/create endpoint with a simple XSS payload (e.g., <script>alert(1)</script>).
curl -X POST -d 'content=<script>alert(1)</script>' http://your-tms-server/admin/blog/comment/create• generic web: Examine access logs for requests to /admin/blog/comment/create containing suspicious characters or XSS payloads.
• generic web: Review response headers for unexpected content or JavaScript code.
disclosure
Estado del Exploit
EPSS
0.04% (13% percentil)
CISA SSVC
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar xiweicheng TMS a la versión 2.28.1 o superior, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento estrictos de todas las entradas de usuario en el archivo '/admin/blog/comment/create'. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones de inyección de código XSS. La monitorización de los registros del servidor en busca de patrones sospechosos también puede ayudar a detectar intentos de explotación.
Actualice xiweicheng TMS a una versión posterior a 2.9 que corrija la vulnerabilidad XSS. Si no hay una versión disponible, considere deshabilitar o eliminar el componente afectado hasta que se publique una solución. Revise y filtre las entradas de los usuarios en la función createComment para evitar la inyección de código malicioso.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2025-14801 is a cross-site scripting (XSS) vulnerability affecting xiweicheng TMS versions 2.0 through 2.28.0, allowing attackers to inject malicious scripts.
You are affected if you are using xiweicheng TMS versions 2.0 to 2.28.0 and have not yet upgraded to version 2.28.1 or later.
Upgrade xiweicheng TMS to version 2.28.1 or later. As a temporary workaround, implement input validation and sanitization on the 'content' parameter.
While no confirmed exploitation campaigns are currently known, the vulnerability has been publicly disclosed and a proof-of-concept exists, increasing the likelihood of exploitation.
Due to the vendor's lack of response, an official advisory may not be available. Monitor security news sources and vulnerability databases for updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.