CVE-2026-63302
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Quick.CMS jest podatny na Local File Inclusion (LFI) w endpointcie admin.php przez parametr p. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dowolne pliki w strukturze katalogów aplikacji, co ujawnia strukturę katalogów i ścieżki bezwzględne.
Ocena ryzyka
Atakujący może odczytać kod źródłowy aplikacji lub pliki konfiguracyjne, co może prowadzić do dalszych ataków.
Rekomendacja
Producent nie planuje naprawy; zaleca się ograniczenie dostępu do admin.php oraz monitorowanie logów pod kątem podejrzanych żądań.
Inne podatności w Quick.CMS
Zobacz wszystkie- CVE-2024-58308Krytyczne
Quick.CMS 6.7 zawiera podatność wstrzykiwania SQL, która pozwala nieuwierzytelnionym atakującym ominąć logowanie poprzez manipulację formularzem logowania. Atakujący mogą wstrzyknąć specyficzne ładunki SQL, takie jak ' or '1'='1, aby uzyskać nieautoryzowany dostęp administracyjny do systemu.
- CVE-2026-33385Średnie
W Quick.CMS zidentyfikowano podatność na ślepe SQL injection. Niewłaściwa neutralizacja danych wejściowych dostarczanych przez użytkownika z wysokimi uprawnieniami do wielu pól w panelu administracyjnym umożliwia ataki Blind SQL Injection. Producent uznał, że ze względu na model zaufania naprawa nie jest konieczna.
- CVE-2026-63303Średnie
Quick.CMS jest podatny na Path Traversal przez komponent URI żądań HTTP. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać pliki w katalogu nadrzędnym webrootu, używając sekwencji ../ w URI.
- CVE-2026-63301Wysokie
W Quick.CMS interfejs administracyjny blokuje usunięcie języka podstawowego, ale endpoint API nie sprawdza tego po stronie serwera. Uwierzytelniony administrator może wysłać bezpośrednie żądanie HTTP i usunąć język podstawowy, powodując Denial of Service (DoS). W połączeniu z podatnością CSRF (CVE-2026-1468) nieuwierzytelniony atakujący może nakłonić administratora do kliknięcia złośliwego linku, co wywoła DoS.
- CVE-2026-11860Wysokie
Quick.CMS deserializuje dane kontrolowane przez użytkownika przesyłane przez niezaszyfrowany protokół HTTP bez zapewnienia integralności lub autentyczności. Atakujący może manipulować serializowanymi ładunkami w tranzycie i wstrzykiwać złośliwe obiekty, co prowadzi do zdalnego wykonania kodu. Eksploatacja jest wyzwalana automatycznie, gdy administrator uzyska dostęp do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
Quick.CMS is vulnerable to Local File Inclusion (LFI) in the admin.php endpoint via the p parameter. An authenticated attacker with admin privileges can include arbitrary files located within the application's directory structure via a crafted HTTP request. Successful exploitation allows disclosure of the server's directory structure and absolute file paths (path disclosure). The vendor assessed the likelihood of exploitation as very low and determined that a fix is not necessary.