CVE-2026-63303
ŚrednieCVSS 5.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Quick.CMS jest podatny na Path Traversal przez komponent URI żądań HTTP. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać pliki w katalogu nadrzędnym webrootu, używając sekwencji ../ w URI.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych plików konfiguracyjnych lub danych poza webrootem.
Rekomendacja
Producent nie planuje naprawy; zaleca się zastosowanie dodatkowych zabezpieczeń, takich jak reguły WAF blokujące sekwencje ../.
Inne podatności w Quick.CMS
Zobacz wszystkie- CVE-2024-58308Krytyczne
Quick.CMS 6.7 zawiera podatność wstrzykiwania SQL, która pozwala nieuwierzytelnionym atakującym ominąć logowanie poprzez manipulację formularzem logowania. Atakujący mogą wstrzyknąć specyficzne ładunki SQL, takie jak ' or '1'='1, aby uzyskać nieautoryzowany dostęp administracyjny do systemu.
- CVE-2026-33385Średnie
W Quick.CMS zidentyfikowano podatność na ślepe SQL injection. Niewłaściwa neutralizacja danych wejściowych dostarczanych przez użytkownika z wysokimi uprawnieniami do wielu pól w panelu administracyjnym umożliwia ataki Blind SQL Injection. Producent uznał, że ze względu na model zaufania naprawa nie jest konieczna.
- CVE-2026-63302Średnie
Quick.CMS jest podatny na Local File Inclusion (LFI) w endpointcie admin.php przez parametr p. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dowolne pliki w strukturze katalogów aplikacji, co ujawnia strukturę katalogów i ścieżki bezwzględne.
- CVE-2026-63301Wysokie
W Quick.CMS interfejs administracyjny blokuje usunięcie języka podstawowego, ale endpoint API nie sprawdza tego po stronie serwera. Uwierzytelniony administrator może wysłać bezpośrednie żądanie HTTP i usunąć język podstawowy, powodując Denial of Service (DoS). W połączeniu z podatnością CSRF (CVE-2026-1468) nieuwierzytelniony atakujący może nakłonić administratora do kliknięcia złośliwego linku, co wywoła DoS.
- CVE-2026-11860Wysokie
Quick.CMS deserializuje dane kontrolowane przez użytkownika przesyłane przez niezaszyfrowany protokół HTTP bez zapewnienia integralności lub autentyczności. Atakujący może manipulować serializowanymi ładunkami w tranzycie i wstrzykiwać złośliwe obiekty, co prowadzi do zdalnego wykonania kodu. Eksploatacja jest wyzwalana automatycznie, gdy administrator uzyska dostęp do panelu administracyjnego.
Oryginalny opis (angielski, źródło NVD)
A Path Traversal vulnerability exists in Quick.CMS through the URI path component of HTTP requests, where the server fails to normalize dot-dot-slash (../) sequences before resolving and serving the requested file. An authenticated attacker with admin privileges can use this vulnerability to read contents of files located in the sibling directory of the webroot via a crafted HTTP request containing ../ sequences in the URI. The vendor assessed the likelihood of exploitation as very low and determined that a fix is not necessary.