Er is een kritiek beveiligingslek ontdekt in FoxCMS versie 1.2.6 (CVE-2025-51650). Door een zwakke plek in de bestandsuploadfunctionaliteit van /controller/PicManager.php is het mogelijk voor aanvallers om willekeurige code uit te voeren via het uploaden van een aangepast sjabloon. Dit vormt een ernstige bedreiging waardoor aanvallers zonder enige vorm van gebruikersinteractie toegang kunnen krijgen.
Overzicht
FoxCMS wordt momenteel beïnvloed door een kwetsbaarheid die hackers in staat stelt om bestanden naar de server te uploaden en vervolgens opdrachten uit te voeren. Het risico is geclassificeerd als medium met een CVSS-score van 5.6, vanwege de vereiste hoge complexiteit maar zonder dat er privileges nodig zijn.
Aanbevelingen
- Het wordt sterk aanbevolen om uw FoxCMS-installatie onmiddellijk bij te werken naar een versie waarin deze kwetsbaarheid is verholpen.
- Controleer regelmatig uw webserverlogs op verdachte activiteiten zoals onbekende bestandspaden.
Bronnen
Vraag en Antwoord
Wat is CVE-2025-51650?
CVE-2025-51650 betreft een beveiligingslek in FoxCMS v1.2.6 die opdrachtinjectie via bestandsupload mogelijk maakt.
Welke systemen zijn kwetsbaar voor CVE-2025-51650?
Alle systemen die FoxCMS v1.2.6 draaien zijn mogelijk kwetsbaar voor deze exploit.
Bestaat er al een patch of beveiligingsupdate?
Er bestaat momenteel geen specifieke patch, maar het updaten naar een nieuwere versie van FoxCMS wordt aangeraden.
Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan zonder interactie van de gebruiker willekeurige code uploaden en uitvoeren op de server, met potentieel volledige controle over de betrokken webapplicatie.
