CVE-2026-40174
WysokieStreszczenie
Masa CMS, system zarządzania treścią, w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji cUsers.updateAddress, która nieprawidłowo weryfikuje tokeny anty-CSRF. Atakujący może skłonić zalogowanego administratora do przesłania sfałszowanego żądania, co pozwala na dodawanie, modyfikowanie lub usuwanie rekordów adresowych użytkowników.
Ocena ryzyka
Luka ta może prowadzić do zmiany informacji kontaktowych, przekierowywania komunikacji organizacyjnej oraz zniekształcenia danych adresowych w katalogu użytkowników, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 7.2.10, 7.3.15, 7.4.10 lub 7.5.3. Alternatywnie, należy ograniczyć dostęp do panelu administracyjnego oraz wdrożyć zasady filtrowania, aby zablokować sfałszowane żądania.
Inne podatności w Masa CMS
Zobacz wszystkie- CVE-2026-40326Wysokie
Masa CMS w wersjach 7.5.2 i wcześniejszych ma lukę w metodzie createBundle w pliku `csettings.cfc`, która nieprawidłowo weryfikuje tokeny anty-CSRF. Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez zalogowanego administratora, cicho tworzy pakiet witryny, który jest zapisywany w publicznie dostępnym katalogu.
- CVE-2026-40325Wysokie
Masa CMS, będący fork'iem Mura CMS, w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji `cTrash.restore`, która nieprawidłowo weryfikuje tokeny anty-CSRF dla żądań przywracania treści. Atakujący może oszukać zalogowanego administratora, aby wysłał fałszywe żądanie przywracające usunięte elementy.
- CVE-2026-40309Wysokie
Masa CMS w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji cTrash.empty, która nie weryfikuje tokenów anty-CSRF dla żądań zarządzania koszem. Atakujący może skłonić zalogowanego administratora do wysłania fałszywego żądania, które opróżnia kosz i trwale usuwa wszystkie usunięte treści.
- CVE-2026-40331Krytyczne
Masa CMS w wersjach 7.2.0-7.2.9, 7.3.0-7.3.14, 7.4.0-7.4.9 i 7.5.0-7.5.2 zawiera podatność na wstrzykiwanie SQL w nieuwierzytelnionym interfejsie JSON API. Parametr altTable jest wstrzykiwany bezpośrednio do klauzuli FROM zapytania SQL, co pozwala nieuwierzytelnionemu atakującemu na odczyt wrażliwych danych z dowolnej tabeli.
- CVE-2026-40330Krytyczne
Masa CMS to system zarządzania treścią open source. W wersjach 7.2.0 do 7.2.9, 7.3.0 do 7.3.14, 7.4.0 do 7.4.9 i 7.5.0 do 7.5.2 istnieje luka SQL injection w komponencie beanFeed.cfc w funkcji getQuery przy obsłudze parametru sortDirection. Wartość parametru jest konkatenowana bezpośrednio do zapytań SQL bez sanityzacji lub parametryzacji. Nieuwierzytelniony zdalny atakujący może to wykorzystać do wyodrębnienia wrażliwych informacji, modyfikacji lub usunięcia rekordów bazy danych, lub potencjalnie do zdalnego wykonania kodu na serwerze bazy danych.
- CVE-2026-40329Krytyczne
Masa CMS to system zarządzania treścią open source. W wersjach 7.5.2 i wcześniejszych istnieje podatność na iniekcję SQL w komponencie beanFeed.cfc w funkcji getQuery podczas przetwarzania parametru sortBy. Aplikacja nie czyści ani nie parametryzuje tego wejścia przed użyciem w dynamicznych zapytaniach SQL. Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia SQL w bazie danych, potencjalnie uzyskując dostęp do wrażliwych danych, modyfikując lub usuwając rekordy, lub eskalując uprawnienia do poziomu administracyjnego. Problem został naprawiony w wersjach 7.2.10, 7.3.15, 7.4.10 i 7.5.3. Obejściem jest skonfigurowanie reguł WAF blokujących złośliwe wzorce SQL w parametrze sortBy wysyłanym do beanFeed.cfc.
- CVE-2024-32641Krytyczne
Masa CMS przed wersjami 7.2.8, 7.3.13 i 7.4.6 jest podatny na zdalne wykonanie kodu. Podatność istnieje w funkcji addParam, która przyjmuje dane od użytkownika przez parametr criteria, a następnie są one przetwarzane przez setDynamicContent, co pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu przez tag m.
Oryginalny opis (angielski, źródło NVD)
Masa CMS is a content management system forked from Mura CMS. In versions 7.5.2 and earlier, the cUsers.updateAddress function does not properly validate anti-CSRF tokens for user address management operations. An attacker can induce a logged-in administrator to submit a forged request that adds, modifies, or deletes user address records, including email addresses and phone numbers. This can be used to alter contact information, redirect organizational communications, and corrupt address data in the user directory. This issue has been fixed in versions 7.2.10, 7.3.15, 7.4.10, and 7.5.3. As a workaround, restrict access to the administrative backend, use browser isolation for administrative sessions, or deploy filtering rules to block forged requests to the affected endpoint