| CVE ID | CVE-2025-4379 |
| Data publikacji | 23 maja 2025 |
| Producent podatnego oprogramowania | Studio Fabryka |
| Nazwa podatnego oprogramowania | DobryCMS |
| Podatne wersje | 1.* oraz 2.* |
| Typ podatności (CWE) | Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') (CWE-79) |
| Źródło zgłoszenia | Zgłoszenie do CERT Polska |
Opis podatności
CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Studio Fabryka DobryCMS i koordynował proces ujawniania informacji.
Podatność CVE-2025-4379: DobryCMS w wersjach 2.* i niższych jest podatny na atak typu Reflected Cross-Site Scripting (XSS). Niewłaściwa walidacja danych wejściowych w parametrze "szukaj" umożliwia wykonanie dowolnego kodu JavaScript w przeglądarce ofiary po otwarciu specjalnie spreparowanego adresu URL.
Łatka naprawcza dla podatnych wersji została opublikowana 29.04.2025. Podatność została usunięta bez zwiększania wersji oprogramowania.
Podziękowania
Za zgłoszenie podatności dziękujemy Kamilowi Szczurowskiemu oraz Robertowi Kruczkowi.
Więcej o procesie zgłaszania podatności można przeczytać na stronie https://cert.pl/cvd/.