CVE-2026-63301
WysokieCVSS 7.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
W Quick.CMS interfejs administracyjny blokuje usunięcie języka podstawowego, ale endpoint API nie sprawdza tego po stronie serwera. Uwierzytelniony administrator może wysłać bezpośrednie żądanie HTTP i usunąć język podstawowy, powodując Denial of Service (DoS). W połączeniu z podatnością CSRF (CVE-2026-1468) nieuwierzytelniony atakujący może nakłonić administratora do kliknięcia złośliwego linku, co wywoła DoS.
Ocena ryzyka
Atak może spowodować niedostępność aplikacji (DoS), a w połączeniu z CSRF może być wykonany bez bezpośredniego dostępu do systemu przez atakującego.
Rekomendacja
Należy zaimplementować walidację po stronie serwera w endpointcie usuwania języka oraz zabezpieczyć przed CSRF. Producent uznał ryzyko za niskie i nie planuje naprawy, więc zaleca się ręczne zabezpieczenie.
Inne podatności w Quick.CMS
Zobacz wszystkie- CVE-2024-58308Krytyczne
Quick.CMS 6.7 zawiera podatność wstrzykiwania SQL, która pozwala nieuwierzytelnionym atakującym ominąć logowanie poprzez manipulację formularzem logowania. Atakujący mogą wstrzyknąć specyficzne ładunki SQL, takie jak ' or '1'='1, aby uzyskać nieautoryzowany dostęp administracyjny do systemu.
- CVE-2026-33385Średnie
W Quick.CMS zidentyfikowano podatność na ślepe SQL injection. Niewłaściwa neutralizacja danych wejściowych dostarczanych przez użytkownika z wysokimi uprawnieniami do wielu pól w panelu administracyjnym umożliwia ataki Blind SQL Injection. Producent uznał, że ze względu na model zaufania naprawa nie jest konieczna.
- CVE-2026-63303Średnie
Quick.CMS jest podatny na Path Traversal przez komponent URI żądań HTTP. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać pliki w katalogu nadrzędnym webrootu, używając sekwencji ../ w URI.
- CVE-2026-63302Średnie
Quick.CMS jest podatny na Local File Inclusion (LFI) w endpointcie admin.php przez parametr p. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dowolne pliki w strukturze katalogów aplikacji, co ujawnia strukturę katalogów i ścieżki bezwzględne.
- CVE-2026-11860Wysokie
Quick.CMS deserializuje dane kontrolowane przez użytkownika przesyłane przez niezaszyfrowany protokół HTTP bez zapewnienia integralności lub autentyczności. Atakujący może manipulować serializowanymi ładunkami w tranzycie i wstrzykiwać złośliwe obiekty, co prowadzi do zdalnego wykonania kodu. Eksploatacja jest wyzwalana automatycznie, gdy administrator uzyska dostęp do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
In Quick.CMS, the administrative user interface restricts deletion of the primary language by omitting the corresponding option from the interface; however, the underlying language-deletion API endpoint does not enforce an equivalent server-side authorization check. As a result, an authenticated administrator can bypass the UI-level restriction and delete the primary language by sending a direct HTTP request to the API endpoint. Successful deletion of the primary language results in a Denial of Service (DoS) of application. Critically, when combined with a separate Cross-Site Request Forgery (CSRF) vulnerability (CVE-2026-1468) an unauthenticated remote attacker can craft a malicious link, which if visited by an authenticated administrator, will trigger the DoS condition without direct access to the application The vendor assessed the likelihood of exploitation as very low and determined that a fix is not necessary.