CVE-2026-37700
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność na Cross-Site Scripting (XSS) w MaxSite CMS v.109.2 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez endpoint przesyłania plików na stronie backendu używany przez admin_page.
Ocena ryzyka
Atakujący może wykraść dane uwierzytelniające administratora lub inne poufne dane przechowywane w sesji przeglądarki.
Rekomendacja
Zaktualizuj MaxSite CMS do najnowszej wersji zawierającej poprawkę bezpieczeństwa.
Inne podatności w MaxSite CMS
Zobacz wszystkie- CVE-2026-70554Krytyczne
MaxSite CMS zawiera podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez przekazanie kontrolowanych danych w ciasteczku maxsite_comuser do funkcji unserialize() bez walidacji. Możliwe jest wykorzystanie łańcuchów gadgetów, takich jak SoapClient lub Imagick, do zdalnego wykonania kodu.
- CVE-2026-70553Krytyczne
MaxSite CMS zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego kodu PHP do pliku konfiguracyjnego aplikacji poprzez wysłanie spreparowanych żądań POST do punktu instalacji po zakończeniu instalacji. Atakujący może wykorzystać wartość db_dbprefix, aby przełamać literał łańcucha PHP i dodać własny kod.
- CVE-2026-70552Krytyczne
MaxSite CMS 109.5 i wcześniejsze zawiera podatność na ominięcie uwierzytelniania w dyspozytorze AJAX, która pozwala nieuwierzytelnionym atakującym na dostęp do punktów końcowych zarezerwowanych dla administratorów poprzez podanie nagłówka X-Requested-With i zakodowanej ścieżki do pliku *-ajax.php. Może to umożliwić manipulację stanami ankiet i liczbą głosów.
Oryginalny opis (angielski, źródło NVD)
Cross Site Scripting vulnerability in MaxSite CMS v.109.2 allows a remote attacker to obtain sensitive information via the Backend page file upload endpoint used by admin_page