CVE-2026-33384
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
QuickCMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem. Wartość tego identyfikatora pozostaje taka sama po uwierzytelnieniu. Umożliwia to atakującemu ustalenie identyfikatora sesji dla ofiary, a następnie przejęcie uwierzytelnionej sesji.
Ocena ryzyka
Atakujący może przejąć sesję uwierzytelnionego użytkownika, uzyskując nieautoryzowany dostęp do jego konta i danych.
Rekomendacja
Zastosuj łatkę do wersji 6.8 opublikowaną 15.05.2026 lub zaktualizuj QuickCMS do nowszej wersji zawierającej poprawkę.
Inne podatności w QuickCMS
Zobacz wszystkie- CVE-2026-33386Niskie
QuickCMS jest podatny na ataki Cross-Site Scripting (XSS) przez niebezpieczny mechanizm pobierania wtyczek oparty na HTTP. Atakujący może przeprowadzić atak Man-in-the-Middle (MITM), podszywając się pod serwer opensolution.org i dostarczając złośliwy kod HTML lub JavaScript na endpoint listy wtyczek. Podatność została naprawiona w łatce do wersji 6.8 opublikowanej 15.05.2026.
- CVE-2026-1468Średnie
QuickCMS jest podatny na Cross-Site Request Forgery (CSRF) na wielu endpointach. Atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez ofiarę automatycznie wyśle żądanie POST z uprawnieniami ofiary. Oprogramowanie nie implementuje żadnej ochrony przed tym atakiem. Poprawka została wydana w wersji 6.8 (14.05.2026).
Oryginalny opis (angielski, źródło NVD)
QuickCMS allows a user's session identifier to be set before authentication. The value of this session ID stays the same after authentication. This behaviour enables an attacker to fix a session ID for a victim and later hijack the authenticated session. This issue was fixed in a patch to version 6.8 published on 15.05.2026, deployments without this patch are still vulnerable.