CVE-2026-111658

NiskieCVSS 3.8

Opublikowano: 16/10/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

SiteServer SSCMS do wersji 7.4.0 zawiera lukę obejścia autoryzacji w ChannelsController, która pozwala administratorom o zasięgu witryny uzyskać dostęp do kanałów innych witryn poprzez podanie obcych identyfikatorów kanałów. Atakujący z uprawnieniami Channels w jednej witrynie może odczytywać i nadpisywać nazwy kanałów, ścieżki plików, szablony, adresy URL linków i pola niestandardowe innej witryny.

Ocena ryzyka

Naruszenie izolacji wielu witryn — administrator jednej witryny może modyfikować zawartość i konfigurację innych witryn. Może to prowadzić do defacementu, wycieku danych lub eskalacji uprawnień.

Rekomendacja

Zaktualizuj SiteServer SSCMS do wersji nowszej niż 7.4.0. Do czasu aktualizacji rozważ ograniczenie uprawnień Channels do minimum.

Inne podatności w SiteServer SSCMS

CVE-2026-82486Średnie
W SiteServer SSCMS 7.4.0 wykryto podatność w komponencie Agent Installation Workflow. Manipulacja argumentem SecurityKey prowadzi do nieprawidłowych kontroli dostępu. Atak zdalny jest możliwy, ale ma wysoką złożoność i jest trudny do wykorzystania. Projekt nie odpowiedział na zgłoszenie.

Oryginalny opis (angielski, źródło NVD)

SiteServer SSCMS through 7.4.0 contains an authorization bypass vulnerability in ChannelsController that allows site-scoped administrators to access other sites' channels by supplying foreign channel IDs. Attackers with Channels permission on one site can read and overwrite another site's channel names, file paths, templates, link URLs, and custom fields, breaking multi-site isolation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS