CVE-2025-12465
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W QuickCMS wykryto podatność Blind SQL Injection w parametrze aFilesDelete, wynikającą z niewłaściwej neutralizacji danych wejściowych od użytkownika o wysokich uprawnieniach. Producent nie odpowiedział na zgłoszenie; potwierdzono podatność tylko w wersji 6.8.
Ocena ryzyka
Użytkownik o wysokich uprawnieniach może wykonać atak Blind SQL Injection, potencjalnie ujawniając lub modyfikując dane w bazie.
Rekomendacja
Ogranicz dostęp do funkcji administracyjnych, wdróż walidację danych wejściowych po stronie serwera i rozważ migrację do wspieranego CMS.
Inne podatności w QuickCMS
Zobacz wszystkie- CVE-2026-33386Niskie
QuickCMS jest podatny na ataki Cross-Site Scripting (XSS) przez niebezpieczny mechanizm pobierania wtyczek oparty na HTTP. Atakujący może przeprowadzić atak Man-in-the-Middle (MITM), podszywając się pod serwer opensolution.org i dostarczając złośliwy kod HTML lub JavaScript na endpoint listy wtyczek. Podatność została naprawiona w łatce do wersji 6.8 opublikowanej 15.05.2026.
- CVE-2026-33384Średnie
QuickCMS pozwala na ustawienie identyfikatora sesji użytkownika przed uwierzytelnieniem. Wartość tego identyfikatora pozostaje taka sama po uwierzytelnieniu. Umożliwia to atakującemu ustalenie identyfikatora sesji dla ofiary, a następnie przejęcie uwierzytelnionej sesji.
- CVE-2026-1468Średnie
QuickCMS jest podatny na Cross-Site Request Forgery (CSRF) na wielu endpointach. Atakujący może stworzyć specjalną stronę, która po odwiedzeniu przez ofiarę automatycznie wyśle żądanie POST z uprawnieniami ofiary. Oprogramowanie nie implementuje żadnej ochrony przed tym atakiem. Poprawka została wydana w wersji 6.8 (14.05.2026).
- CVE-2025-9982Wysokie
Podatność w QuickCMS w wersji 6.8 polega na tym, że wrażliwe dane uwierzytelniające administratora są zakodowane na stałe w pliku konfiguracyjnym i przechowywane w postaci zwykłego tekstu. Ta wada pozwala atakującym z dostępem do kodu źródłowego lub systemu plików serwera na uzyskanie danych uwierzytelniających, co może prowadzić do eskalacji uprawnień. Producent został wcześniej poinformowany o tej podatności, ale nie odpowiedział z informacjami o podatności lub zakresie wersji. Tylko wersja 6.8 została przetestowana i potwierdzona jako podatna; inne wersje nie były testowane i mogą być również podatne.
- CVE-2025-10018Średnie
QuickCMS jest podatny na wiele podatności typu Stored XSS w funkcjonalności edytora języków (languages). Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod HTML i JavaScript do strony internetowej, który będzie renderowany/wykonywany na każdej stronie. Domyślnie administrator nie może dodawać JavaScriptu do strony.
- CVE-2025-9981Średnie
QuickCMS jest podatny na wiele podatności Stored XSS w edytorze suwaków (sliders-form). Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod HTML i JavaScript na stronę, który będzie renderowany i wykonywany na każdej stronie. Domyślnie administrator nie może dodawać JavaScriptu do strony.
- CVE-2025-9980Średnie
QuickCMS jest podatny na wiele podatności Stored XSS w edytorze stron (pages-form). Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny kod HTML i JavaScript na stronę, który będzie renderowany i wykonywany podczas odwiedzania edytowanej strony. Domyślnie administrator nie może dodawać JavaScriptu do strony.
- CVE-2025-55175Średnie
QuickCMS jest podatny na Reflected XSS poprzez parametr sLangEdit w panelu administracyjnym. Złośliwy atakujący może stworzyć specjalnie spreparowany URL, który po otwarciu powoduje wykonanie dowolnego JavaScriptu w przeglądarce ofiary. Producent nie odpowiedział na zgłoszenie; potwierdzono podatność tylko w wersji 6.8.
- CVE-2025-54544Średnie
QuickCMS jest podatny na przechowywane XSS poprzez parametr aDirFilesDescriptions w funkcjonalności edytora plików. Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny HTML i JavaScript do strony, który zostanie wykonany podczas odwiedzania edytowanej strony. Domyślnie administrator nie może dodawać JavaScriptu do strony.
- CVE-2025-54543Średnie
QuickCMS jest podatny na przechowywane XSS poprzez parametr sDescriptionMeta w funkcjonalności SEO edytora stron. Złośliwy atakujący z uprawnieniami administratora może wstrzyknąć dowolny HTML i JavaScript do strony, który zostanie wykonany podczas odwiedzania edytowanej strony. Domyślnie administrator nie może dodawać JavaScriptu do strony.
Oryginalny opis (angielski, źródło NVD)
A Blind SQL injection vulnerability has been identified in QuickCMS. Improper neutralization of input provided by a high-privileged user into aFilesDelete allows for Blind SQL Injection attacks. The vendor was notified early about this vulnerability, but didn't respond with the details of vulnerability or vulnerable version range. Only version 6.8 was tested and confirmed as vulnerable, other versions were not tested and might also be vulnerable.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS