CVE-2026-73326
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
CamaleonCMS zawiera podatność na brak autoryzacji, która pozwala każdemu uwierzytelnionemu użytkownikowi o niskich uprawnieniach na dostęp i modyfikację ustawień pluginów poprzez dotarcie do czterech niechronionych endpointów administracyjnych pluginów bez wymaganej autoryzacji administratora. Atakujący mogą manipulować parametrami konfiguracyjnymi pluginów w czasie rzeczywistym w pluginach attack, front_cache, cama_meta_tag i cama_contact_form, aby zmienić zachowanie buforowanych stron, zmodyfikować publiczne meta tagi lub zmienić konfigurację formularzy kontaktowych, umożliwiając przejęcie konta w połączeniu z trwałym XSS przez pole before_html formularza kontaktowego.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowaną modyfikację konfiguracji systemu, co może prowadzić do przejęcia kont, defacementu strony lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację CamaleonCMS do wersji z poprawką oraz wdrożenie odpowiednich kontroli autoryzacji na wszystkich endpointach administracyjnych.
Oryginalny opis (angielski, źródło NVD)
CamaleonCMS contains a missing authorization vulnerability that allows any authenticated low-privileged user to access and modify plugin settings by reaching four unprotected plugin-administration endpoints without administrator-level authorization. Attackers can manipulate plugin configuration parameters at runtime across the attack, front_cache, cama_meta_tag, and cama_contact_form plugins to alter cached page behavior, modify public meta-tag output, or reconfigure contact forms, enabling account takeover when chained with stored cross-site scripting through the contact form's before_html field.