CVE-2026-94110

WysokieCVSS 7.3

Opublikowano: 21/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 21/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

Wykryto podatność w QCMS do wersji 6.0.6 w funkcji self_Tmp biblioteki Lib/Config/Controllers.php (Content Detail Page). Manipulacja argumentem ID prowadzi do wstrzyknięcia SQL. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Ocena ryzyka

Zdalny atakujący może wykonać dowolne zapytania SQL, co grozi wyciekiem, modyfikacją lub usunięciem danych z bazy. Publiczny exploit zwiększa ryzyko masowego wykorzystania.

Rekomendacja

Zaktualizuj QCMS do wersji nowszej niż 6.0.6 lub zastosuj poprawki producenta; do czasu aktualizacji rozważ ograniczenie dostępu do panelu Content Detail Page.

Inne podatności w QCMS

CVE-2026-67854Krytyczne
Podatność SQL Injection w Qcms w wersji 6.0.6 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in QCMS up to 6.0.6. This issue affects the function self_Tmp in the library Lib/Config/Controllers.php of the component Content Detail Page. Such manipulation of the argument ID leads to sql injection. The attack may be performed from remote. The exploit has been disclosed publicly and may be used. Router uses raw REQUEST_URI without URL decoding, so payloads must contain literal spaces - %20 never decodes before route parsing. The support team of the vendor was contacted early about this disclosure. Unfortunately, they responded just with profanity.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS