CVE-2026-40309
WysokieStreszczenie
Masa CMS w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji cTrash.empty, która nie weryfikuje tokenów anty-CSRF dla żądań zarządzania koszem. Atakujący może skłonić zalogowanego administratora do wysłania fałszywego żądania, które opróżnia kosz i trwale usuwa wszystkie usunięte treści.
Ocena ryzyka
Luka ta może prowadzić do nieodwracalnej utraty danych oraz zakłócenia procesu przywracania treści. Organizacje mogą stracić ważne informacje, które miały być przywrócone.
Rekomendacja
Zaleca się aktualizację do wersji 7.2.10, 7.3.15, 7.4.10 lub 7.5.3. Dodatkowo, należy ograniczyć dostęp do panelu administracyjnego, stosować izolację przeglądarki dla sesji administracyjnych oraz utrzymywać aktualne kopie zapasowe bazy danych.
Inne podatności w Masa CMS
Zobacz wszystkie- CVE-2026-40326Wysokie
Masa CMS w wersjach 7.5.2 i wcześniejszych ma lukę w metodzie createBundle w pliku `csettings.cfc`, która nieprawidłowo weryfikuje tokeny anty-CSRF. Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez zalogowanego administratora, cicho tworzy pakiet witryny, który jest zapisywany w publicznie dostępnym katalogu.
- CVE-2026-40325Wysokie
Masa CMS, będący fork'iem Mura CMS, w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji `cTrash.restore`, która nieprawidłowo weryfikuje tokeny anty-CSRF dla żądań przywracania treści. Atakujący może oszukać zalogowanego administratora, aby wysłał fałszywe żądanie przywracające usunięte elementy.
- CVE-2026-40174Wysokie
Masa CMS, system zarządzania treścią, w wersjach 7.5.2 i wcześniejszych ma lukę w funkcji cUsers.updateAddress, która nieprawidłowo weryfikuje tokeny anty-CSRF. Atakujący może skłonić zalogowanego administratora do przesłania sfałszowanego żądania, co pozwala na dodawanie, modyfikowanie lub usuwanie rekordów adresowych użytkowników.
- CVE-2026-40331Krytyczne
Masa CMS w wersjach 7.2.0-7.2.9, 7.3.0-7.3.14, 7.4.0-7.4.9 i 7.5.0-7.5.2 zawiera podatność na wstrzykiwanie SQL w nieuwierzytelnionym interfejsie JSON API. Parametr altTable jest wstrzykiwany bezpośrednio do klauzuli FROM zapytania SQL, co pozwala nieuwierzytelnionemu atakującemu na odczyt wrażliwych danych z dowolnej tabeli.
- CVE-2026-40330Krytyczne
Masa CMS to system zarządzania treścią open source. W wersjach 7.2.0 do 7.2.9, 7.3.0 do 7.3.14, 7.4.0 do 7.4.9 i 7.5.0 do 7.5.2 istnieje luka SQL injection w komponencie beanFeed.cfc w funkcji getQuery przy obsłudze parametru sortDirection. Wartość parametru jest konkatenowana bezpośrednio do zapytań SQL bez sanityzacji lub parametryzacji. Nieuwierzytelniony zdalny atakujący może to wykorzystać do wyodrębnienia wrażliwych informacji, modyfikacji lub usunięcia rekordów bazy danych, lub potencjalnie do zdalnego wykonania kodu na serwerze bazy danych.
- CVE-2026-40329Krytyczne
Masa CMS to system zarządzania treścią open source. W wersjach 7.5.2 i wcześniejszych istnieje podatność na iniekcję SQL w komponencie beanFeed.cfc w funkcji getQuery podczas przetwarzania parametru sortBy. Aplikacja nie czyści ani nie parametryzuje tego wejścia przed użyciem w dynamicznych zapytaniach SQL. Nieuwierzytelniony zdalny atakujący może wykonać dowolne polecenia SQL w bazie danych, potencjalnie uzyskując dostęp do wrażliwych danych, modyfikując lub usuwając rekordy, lub eskalując uprawnienia do poziomu administracyjnego. Problem został naprawiony w wersjach 7.2.10, 7.3.15, 7.4.10 i 7.5.3. Obejściem jest skonfigurowanie reguł WAF blokujących złośliwe wzorce SQL w parametrze sortBy wysyłanym do beanFeed.cfc.
- CVE-2024-32641Krytyczne
Masa CMS przed wersjami 7.2.8, 7.3.13 i 7.4.6 jest podatny na zdalne wykonanie kodu. Podatność istnieje w funkcji addParam, która przyjmuje dane od użytkownika przez parametr criteria, a następnie są one przetwarzane przez setDynamicContent, co pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu przez tag m.
Oryginalny opis (angielski, źródło NVD)
Masa CMS is a content management system forked from Mura CMS. In versions 7.5.2 and earlier, the cTrash.empty function does not validate anti-CSRF tokens for trash management requests. An attacker can induce a logged-in administrator to submit a forged request that empties the trash and permanently deletes all deleted content. This can cause irreversible data loss and disrupt recovery of content intended for restoration. This issue has been fixed in versions 7.2.10, 7.3.15, 7.4.10, and 7.5.3. As a workaround, restrict access to the administrative backend, use browser isolation for administrative sessions, and maintain current database backups to recover from unauthorized deletion.