CVE-2024-58308
KrytyczneStreszczenie
Quick.CMS 6.7 zawiera podatność wstrzykiwania SQL, która pozwala nieuwierzytelnionym atakującym ominąć logowanie poprzez manipulację formularzem logowania. Atakujący mogą wstrzyknąć specyficzne ładunki SQL, takie jak ' or '1'='1, aby uzyskać nieautoryzowany dostęp administracyjny do systemu.
Ocena ryzyka
Nieautoryzowany dostęp administracyjny może prowadzić do pełnej kompromitacji systemu CMS, w tym modyfikacji treści i kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację Quick.CMS do najnowszej wersji oraz zastosowanie zabezpieczeń przed wstrzykiwaniem SQL, takich jak parametryzowane zapytania.
Inne podatności w Quick.CMS
Zobacz wszystkie- CVE-2026-33385Średnie
W Quick.CMS zidentyfikowano podatność na ślepe SQL injection. Niewłaściwa neutralizacja danych wejściowych dostarczanych przez użytkownika z wysokimi uprawnieniami do wielu pól w panelu administracyjnym umożliwia ataki Blind SQL Injection. Producent uznał, że ze względu na model zaufania naprawa nie jest konieczna.
- CVE-2026-63303Średnie
Quick.CMS jest podatny na Path Traversal przez komponent URI żądań HTTP. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać pliki w katalogu nadrzędnym webrootu, używając sekwencji ../ w URI.
- CVE-2026-63302Średnie
Quick.CMS jest podatny na Local File Inclusion (LFI) w endpointcie admin.php przez parametr p. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dowolne pliki w strukturze katalogów aplikacji, co ujawnia strukturę katalogów i ścieżki bezwzględne.
- CVE-2026-63301Wysokie
W Quick.CMS interfejs administracyjny blokuje usunięcie języka podstawowego, ale endpoint API nie sprawdza tego po stronie serwera. Uwierzytelniony administrator może wysłać bezpośrednie żądanie HTTP i usunąć język podstawowy, powodując Denial of Service (DoS). W połączeniu z podatnością CSRF (CVE-2026-1468) nieuwierzytelniony atakujący może nakłonić administratora do kliknięcia złośliwego linku, co wywoła DoS.
- CVE-2026-11860Wysokie
Quick.CMS deserializuje dane kontrolowane przez użytkownika przesyłane przez niezaszyfrowany protokół HTTP bez zapewnienia integralności lub autentyczności. Atakujący może manipulować serializowanymi ładunkami w tranzycie i wstrzykiwać złośliwe obiekty, co prowadzi do zdalnego wykonania kodu. Eksploatacja jest wyzwalana automatycznie, gdy administrator uzyska dostęp do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
Quick.CMS 6.7 contains a SQL injection vulnerability that allows unauthenticated attackers to bypass login authentication by manipulating the login form. Attackers can inject specific SQL payloads like ' or '1'='1 to gain unauthorized administrative access to the system.