Plateforme
php
Composant
powercms
Corrigé dans
6.7.1
5.3.1
4.6.1
Une vulnérabilité de type Path Traversal a été découverte dans la fonctionnalité de sauvegarde et de restauration de PowerCMS, affectant les versions inférieures ou égales à 6.7. Cette faille permet à un administrateur de produit d'exécuter du code arbitraire en restaurant un fichier de sauvegarde spécialement conçu. La version corrigée est 6.7.1, et il est fortement recommandé de mettre à jour dès que possible.
L'exploitation réussie de cette vulnérabilité permet à un attaquant, disposant des privilèges d'administrateur PowerCMS, d'exécuter du code arbitraire sur le serveur. Cela peut conduire à la prise de contrôle complète du système, à la compromission des données sensibles stockées dans la base de données PowerCMS, et à la propagation de l'attaque vers d'autres systèmes connectés. Un attaquant pourrait potentiellement modifier des fichiers de configuration, installer des portes dérobées, ou même chiffrer les données pour exiger une rançon. La gravité de l'impact est élevée en raison de la facilité potentielle d'exploitation et de l'accès aux privilèges d'administrateur.
Cette vulnérabilité a été rendue publique le 31 juillet 2025. Il n'y a pas d'indication d'une exploitation active à ce jour, ni de preuve qu'elle figure sur la liste KEV de CISA. Aucun proof-of-concept public n'est actuellement disponible, ce qui réduit le risque d'exploitation à court terme, mais la nature de la vulnérabilité (Path Traversal) rend l'exploitation potentiellement simple une fois qu'un PoC est publié.
Organizations utilizing PowerCMS for content management, particularly those with product administrator accounts that have unrestricted access to the backup and restore functionality, are at risk. Shared hosting environments where multiple users share the same PowerCMS installation are also particularly vulnerable, as a compromised administrator account could impact all hosted sites.
• php / server:
find /var/www/html/powercms/backups -name '*backup*' -print0 | xargs -0 grep -i '..\/..\/'• generic web:
curl -I http://your-powercms-site.com/backup.php?file=../../../../etc/passwddisclosure
Statut de l'Exploit
EPSS
0.25% (percentile 48%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour PowerCMS vers la version 6.7.1 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, envisagez de restreindre l'accès à la fonctionnalité de sauvegarde et de restauration aux seuls administrateurs de confiance. Surveillez attentivement les fichiers de sauvegarde pour détecter toute modification suspecte. Bien qu'il n'existe pas de règles WAF spécifiques à cette vulnérabilité, une règle générale de validation des chemins d'accès pourrait aider à atténuer le risque. Vérifiez après la mise à jour que la fonctionnalité de sauvegarde et de restauration fonctionne correctement et qu'aucun fichier suspect n'a été créé.
Actualice PowerCMS a la última versión disponible proporcionada por el proveedor, Alfasado Inc. Consulte las notas de la versión 6.71, 5.31 o 4.61 para obtener detalles específicos sobre la corrección de este problema de path traversal. Asegúrese de realizar una copia de seguridad de su sistema antes de aplicar la actualización.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2025-46359 is a path traversal vulnerability in PowerCMS versions up to 6.7, allowing attackers to potentially execute arbitrary code by restoring a crafted backup file.
You are affected if you are running PowerCMS versions 6.7 or earlier. Upgrade to 6.7.1 to mitigate the risk.
Upgrade PowerCMS to version 6.7.1 or later. As a temporary workaround, restrict access to the backup and restore feature to trusted administrators.
As of 2025-07-31, there are no publicly known active exploitation campaigns targeting CVE-2025-46359.
Refer to the official PowerCMS security advisory for detailed information and updates regarding CVE-2025-46359.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.