Podatności Quick.Cart

Quick.Cart jest podatny na Cross-Site Request Forgery w panelu konfiguracyjnym administratora. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST zmieniające login i hasło administratora. Oprogramowanie implementuje prostą ochronę, ale można ją łatwo obejść manipulując nagłówkiem referer. Wszystkie formularze w tym oprogramowaniu są potencjalnie podatne. Luka została naprawiona w patchu do wersji 6.7 opublikowanym 09.11.2026; instalacje bez tego patcha są nadal podatne.

Quick.Cart przechowuje zakodowane na stałe, jawne dane uwierzytelniające administratora w pliku konfiguracyjnym. Atakujący z dostępem do systemu plików serwera może je odzyskać, co może prowadzić do eskalacji uprawnień. Producent uznał ryzyko za bardzo niskie i nie planuje naprawy. Testowano wersję 6.7, ale wszystkie wersje są podatne.

Quick.Cart jest podatny na ataki typu Cross-Site Request Forgery w funkcji tworzenia produktów. Złośliwy atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST tworzące złośliwy produkt z treścią zdefiniowaną przez atakującego. Oprogramowanie nie implementuje żadnej ochrony przed tego typu atakami, a wszystkie formularze są potencjalnie podatne. Przetestowano tylko wersję 6.7, która jest potwierdzona jako podatna.