CVE-2026-33384
MediumCVSS 4.8Exploitation Probability (EPSS)
Low risk8th percentile - higher than 8% of all known CVEs
Summary
QuickCMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem, co skutkuje tym, że wartość tego identyfikatora pozostaje taka sama po uwierzytelnieniu. Taka sytuacja umożliwia atakującemu przypisanie identyfikatora sesji ofiary i późniejsze przejęcie uwierzytelnionej sesji.
Risk Assessment
Organizacje, które nie zastosowały poprawki, są narażone na przejęcie sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Recommendation
Zaleca się jak najszybsze zaktualizowanie QuickCMS do wersji 6.8 lub nowszej, aby usunąć tę podatność.
Original NVD description (English source)
QuickCMS allows a user's session identifier to be set before authentication. The value of this session ID stays the same after authentication. This behaviour enables an attacker to fix a session ID for a victim and later hijack the authenticated session. This issue was fixed in a patch to version 6.8 published on 15.05.2026, deployments without this patch are still vulnerable.