8.2
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
C97net qEngine CMS through 6.0.0, Kemana Directory through 1.5.6, and Cart Engine through 3.0.0 contain an information disclosure vulnerability that exposes database backups in the web-accessible /admin/backup directory. Unauthenticated attackers can list the directory or guess date-based names like 'Full Backup YYYYMMDD.sql' to download dumps containing user records and administrator password hashes.
Засегнати продукти
- C97net qEngine CMS: до 6.0.0
- C97net Kemana Directory: до 1.5.6
- C97net Cart Engine: до 3.0.0
Вид слабост
История
- 28 октомври 2026 Публикувано
Други уязвимости в C97net qEngine CMS
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2014-125136
- https://nvd.nist.gov/vuln/detail/CVE-2014-125136
- https://www.zeroscience.mk/advisories/ZSL-2014-5172.html
- https://www.zeroscience.mk/advisories/ZSL-2014-5176.html
- https://www.zeroscience.mk/advisories/ZSL-2014-5180.html
- https://www.exploit-db.com/exploits/32511
- https://www.exploit-db.com/exploits/32509
- https://www.exploit-db.com/exploits/32505
- https://www.vulncheck.com/advisories/c97net-qengine-cms-through-6.0.0-kemana-directory-through-1.5.6-cart-engine-through-3.0.0-database-backup-exposure-via-admin-backup