CVE-2026-41875
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Quick.Cart jest podatny na Cross-Site Request Forgery w panelu konfiguracyjnym administratora. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST zmieniające login i hasło administratora. Oprogramowanie implementuje prostą ochronę, ale można ją łatwo obejść manipulując nagłówkiem referer. Wszystkie formularze w tym oprogramowaniu są potencjalnie podatne. Luka została naprawiona w patchu do wersji 6.7 opublikowanym 09.11.2026; instalacje bez tego patcha są nadal podatne.
Ocena ryzyka
Może umożliwić atakującemu przejęcie konta administratora, co prowadzi do pełnej kompromitacji aplikacji i danych.
Rekomendacja
Zastosuj patch do wersji 6.7 opublikowany 09.11.2026 lub nowszy.
Inne podatności w Quick.Cart
Zobacz wszystkie- CVE-2026-41874Średnie
Quick.Cart przechowuje zakodowane na stałe, jawne dane uwierzytelniające administratora w pliku konfiguracyjnym. Atakujący z dostępem do systemu plików serwera może je odzyskać, co może prowadzić do eskalacji uprawnień. Producent uznał ryzyko za bardzo niskie i nie planuje naprawy. Testowano wersję 6.7, ale wszystkie wersje są podatne.
- CVE-2025-10317Średnie
Quick.Cart jest podatny na ataki typu Cross-Site Request Forgery w funkcji tworzenia produktów. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST tworzące złośliwy produkt z treścią zdefiniowaną przez atakującego. Oprogramowanie nie implementuje żadnej ochrony przed tego typu atakami, a wszystkie formularze są potencjalnie podatne. Przetestowano tylko wersję 6.7, która jest potwierdzona jako podatna.
Oryginalny opis (angielski, źródło NVD)
Quick.Cart is vulnerable to Cross-Site Request Forgery in admin config panel. Malicious attacker can craft special website, which when visited by the admin, will automatically send a POST request that changes admin's login and password. This software does implement simple protection against this type of attack, but it is easily bypassed by manipulating the referer header. All forms available in this software are potentially vulnerable. This issue was fixed in a patch to version 6.7 published on 09.11.2026, deployments without this patch are still vulnerable
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS