CVE-2026-33384
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
QuickCMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem, co skutkuje tym, że wartość tego identyfikatora pozostaje taka sama po uwierzytelnieniu. Taka sytuacja umożliwia atakującemu przypisanie identyfikatora sesji ofiary i późniejsze przejęcie uwierzytelnionej sesji.
Ocena ryzyka
Organizacje, które nie zastosowały poprawki, są narażone na przejęcie sesji użytkowników, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych.
Rekomendacja
Zaleca się jak najszybsze zaktualizowanie QuickCMS do wersji 6.8 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
QuickCMS allows a user's session identifier to be set before authentication. The value of this session ID stays the same after authentication. This behaviour enables an attacker to fix a session ID for a victim and later hijack the authenticated session. This issue was fixed in a patch to version 6.8 published on 15.05.2026, deployments without this patch are still vulnerable.