CVSS: 9.8EPSS: 0%CPEs: 1EXPL: 0CVE-2018-11554
https://notcve.org/view.php?id=CVE-2018-11554
The forgotten-password feature in index.php/member/reset/reset_email.html in YzmCMS v3.2 through v3.7 has a Response Discrepancy Information Exposure issue and an unexpectedly long lifetime for a verification code, which makes it easier for remote attackers to hijack accounts via a brute-force approach. La funcionalidad de contraseña olvidada en index.php/member/reset/reset_email.html en YzmCMS, de la versión v3.2 hasta la v3.7 tiene un problema de exposición de información por discrepancia en la respuesta y un tiempo de vida inesperadamente largo para un código de verificación. Esto hace que a los atacantes remotos les sea más sencillo secuestrar cuentas mediante un enfoque de fuerza bruta. • https://github.com/littleheary/-YzmCMS-User-Traversal-Vulnerability/blob/master/README.md • CWE-200: Exposure of Sensitive Information to an Unauthorized Actor •
CVSS: 6.1EPSS: 0%CPEs: 1EXPL: 2CVE-2018-7653 – YzmCMS 3.6 - Cross-Site Scripting
https://notcve.org/view.php?id=CVE-2018-7653
In YzmCMS 3.6, index.php has XSS via the a, c, or m parameter. En YzmCMS 3.6, index.php tiene Cross-Site Scripting (XSS) mediante los parámetros "a", "c" o "m". YzmCMS version 3.6 suffers from a cross site scripting vulnerability. • https://www.exploit-db.com/exploits/44405 https://github.com/ponyma233/YzmCMS/blob/master/YzmCMS_3.6_bug.md https://packetstormsecurity.com/files/147065/YzmCMS-3.6-Cross-Site-Scripting.html • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 7.2EPSS: 0%CPEs: 1EXPL: 1CVE-2018-7579
https://notcve.org/view.php?id=CVE-2018-7579
\application\admin\controller\update_urls.class.php in YzmCMS 3.6 has SQL Injection via the catids array parameter to admin/update_urls/update_category_url.html. \application\admin\controller\update_urls.class.php en YzmCMS 3.6 tiene inyección SQL mediante el parámetro del array catids en admin/update_urls/update_category_url.html. • http://www.atksec.com/article/yzmcms-v3.6-sqli/index.html • CWE-89: Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 2CVE-2018-7479
https://notcve.org/view.php?id=CVE-2018-7479
YzmCMS 3.6 allows remote attackers to discover the full path via a direct request to application/install/templates/s1.php. YzmCMS 3.6 permite que atacantes remotos descubran la ruta completa mediante una petición directa a application/install/templates/s1.php. • https://github.com/kongxin520/YzmCMS/blob/master/YzmCMS_3.6_bug.md https://kongxin.gitbook.io/yzmcms-3-6-bug • CWE-668: Exposure of Resource to Wrong Sphere •