CVE-2026-33386
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
QuickCMS jest podatny na ataki Cross-Site Scripting (XSS) przez niebezpieczny mechanizm pobierania wtyczek oparty na HTTP. Atakujący może przeprowadzić atak Man-in-the-Middle (MITM), podszywając się pod serwer opensolution.org i dostarczając złośliwy kod HTML lub JavaScript na endpoint listy wtyczek. Podatność została naprawiona w łatce do wersji 6.8 opublikowanej 15.05.2026.
Ocena ryzyka
Ryzyko polega na wykonaniu złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, wycieku danych lub dalszych ataków na system.
Rekomendacja
Zaleca się natychmiastowe zastosowanie łatki do wersji 6.8 QuickCMS opublikowanej 15.05.2026 lub aktualizację do nowszej wersji.
Oryginalny opis (angielski, źródło NVD)
QuickCMS is vulnerable to Cross-Site Scripting (XSS) through its insecure HTTP-based plugin‑fetching mechanism. A malicious attacker can perform a Man‑in‑the‑Middle (MITM) attack by impersonating the opensolution.org server and serving arbitrary HTML or JavaScript at the plugin list endpoint. When a user accesses the plugin page, the malicious content is automatically fetched, rendered, and executed. This issue was fixed in a patch to version 6.8 published on 15.05.2026, deployments without this patch are still vulnerable.