CVE-2025-10317
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Quick.Cart jest podatny na ataki typu Cross-Site Request Forgery w funkcji tworzenia produktów. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST tworzące złośliwy produkt z treścią zdefiniowaną przez atakującego. Oprogramowanie nie implementuje żadnej ochrony przed tego typu atakami, a wszystkie formularze są potencjalnie podatne. Przetestowano tylko wersję 6.7, która jest potwierdzona jako podatna.
Ocena ryzyka
Atakujący może nieautoryzowanie tworzyć produkty w sklepie, co może prowadzić do manipulacji ofertą, oszustw lub dalszych ataków na administratora.
Rekomendacja
Zaktualizuj Quick.Cart do najnowszej wersji, jeśli dostępna, i wdróż mechanizmy ochrony CSRF, takie jak tokeny, w wszystkich formularzach. Ogranicz dostęp do panelu administracyjnego i edukuj administratorów o ryzyku odwiedzania nieznanych stron.
Inne podatności w Quick.Cart
Zobacz wszystkie- CVE-2026-41875Średnie
Quick.Cart jest podatny na Cross-Site Request Forgery w panelu konfiguracyjnym administratora. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST zmieniające login i hasło administratora. Oprogramowanie implementuje prostą ochronę, ale można ją łatwo obejść manipulując nagłówkiem referer. Wszystkie formularze w tym oprogramowaniu są potencjalnie podatne. Luka została naprawiona w patchu do wersji 6.7 opublikowanym 09.11.2026; instalacje bez tego patcha są nadal podatne.
- CVE-2026-41874Średnie
Quick.Cart przechowuje zakodowane na stałe, jawne dane uwierzytelniające administratora w pliku konfiguracyjnym. Atakujący z dostępem do systemu plików serwera może je odzyskać, co może prowadzić do eskalacji uprawnień. Producent uznał ryzyko za bardzo niskie i nie planuje naprawy. Testowano wersję 6.7, ale wszystkie wersje są podatne.
Oryginalny opis (angielski, źródło NVD)
Quick.Cart is vulnerable to Cross-Site Request Forgery in product creation functionality. Malicious attacker can craft special website, which when visited by the admin, will automatically send a POST request creating a malicious product with content defined by the attacker. This software does not implement any protection against this type of attack. All forms available in this software are potentially vulnerable. The vendor was notified early about this vulnerability, but didn't respond with the details of vulnerability or vulnerable version range. Only version 6.7 was tested and confirmed as vulnerable, other versions were not tested and might also be vulnerable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS