CVE-2026-1468
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
QuickCMS jest podatny na Cross-Site Request Forgery (CSRF) na wielu endpointach. Atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez ofiarę automatycznie wyśle żądanie POST z uprawnieniami ofiary. Oprogramowanie nie implementuje żadnej ochrony przed tym atakiem. Poprawka została wydana w wersji 6.8 (14.05.2026).
Ocena ryzyka
Atakujący może wykonywać nieautoryzowane działania w imieniu zalogowanego użytkownika, takie jak zmiana ustawień lub usunięcie danych.
Rekomendacja
Zaktualizuj QuickCMS do wersji 6.8 lub nowszej, która zawiera poprawkę.
Inne podatności w QuickCMS
Zobacz wszystkie- CVE-2026-33386Niskie
QuickCMS jest podatny na ataki Cross-Site Scripting (XSS) przez niebezpieczny mechanizm pobierania wtyczek oparty na HTTP. Atakujący może przeprowadzić atak Man-in-the-Middle (MITM), podszywając się pod serwer opensolution.org i dostarczając złośliwy kod HTML lub JavaScript na endpoint listy wtyczek. Podatność została naprawiona w łatce do wersji 6.8 opublikowanej 15.05.2026.
- CVE-2026-33384Średnie
QuickCMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem. Wartość tego identyfikatora pozostaje taka sama po uwierzytelnieniu. Umożliwia to atakującemu ustalenie identyfikatora sesji dla ofiary, a następnie przejęcie uwierzytelnionej sesji.
Oryginalny opis (angielski, źródło NVD)
QuickCMS is vulnerable to Cross-Site Request Forgery across multiple endpoints. An attacker can craft special website, which when visited by the victim, will automatically send a POST request with victim's privileges. This software does not implement any protection against this type of attack. All forms available in this software are potentially vulnerable. This issue was fixed in a patch to version 6.8 published on 14.05.2026, deployments without this patch are still vulnerable