Podatności Quick.CMS

Quick.CMS 6.7 zawiera podatność wstrzykiwania SQL, która pozwala nieuwierzytelnionym atakującym ominąć logowanie poprzez manipulację formularzem logowania. Atakujący mogą wstrzyknąć specyficzne ładunki SQL, takie jak ' or '1'='1, aby uzyskać nieautoryzowany dostęp administracyjny do systemu.

W Quick.CMS zidentyfikowano podatność na ślepe SQL injection. Niewłaściwa neutralizacja danych wejściowych dostarczanych przez użytkownika z wysokimi uprawnieniami do wielu pól w panelu administracyjnym umożliwia ataki Blind SQL Injection. Producent uznał, że ze względu na model zaufania naprawa nie jest konieczna.

Quick.CMS jest podatny na Path Traversal przez komponent URI żądań HTTP. Uwierzytelniony atakujący z uprawnieniami administratora może odczytać pliki w katalogu nadrzędnym webrootu, używając sekwencji ../ w URI.

Quick.CMS jest podatny na Local File Inclusion (LFI) w endpointcie admin.php przez parametr p. Uwierzytelniony atakujący z uprawnieniami administratora może dołączyć dowolne pliki w strukturze katalogów aplikacji, co ujawnia strukturę katalogów i ścieżki bezwzględne.

W Quick.CMS interfejs administracyjny blokuje usunięcie języka podstawowego, ale endpoint API nie sprawdza tego po stronie serwera. Uwierzytelniony administrator może wysłać bezpośrednie żądanie HTTP i usunąć język podstawowy, powodując Denial of Service (DoS). W połączeniu z podatnością CSRF (CVE-2026-1468) nieuwierzytelniony atakujący może nakłonić administratora do kliknięcia złośliwego linku, co wywoła DoS.

Quick.CMS deserializuje dane kontrolowane przez użytkownika przesyłane przez niezaszyfrowany protokół HTTP bez zapewnienia integralności lub autentyczności. Atakujący może manipulować serializowanymi ładunkami w tranzycie i wstrzykiwać złośliwe obiekty, co prowadzi do zdalnego wykonania kodu. Eksploatacja jest wyzwalana automatycznie, gdy administrator uzyska dostęp do panelu administracyjnego.