CVE-2026-7011
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W MaxSite CMS do wersji 109.3 wykryto słabość w nieznanej funkcjonalności pliku /admin/plugin_antispam wtyczki Antispam. Manipulacja argumentem f_logging_file może prowadzić do cross-site scripting (XSS), a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a producent klasyfikuje problem jako Self-XSS i naprawił go w wersji 109.4.
Ocena ryzyka
Podatność XSS może pozwolić na wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji lub danych. Ponieważ exploit jest publiczny, ryzyko wykorzystania wzrasta.
Rekomendacja
Zaktualizuj MaxSite CMS do wersji 109.4 lub nowszej, która zawiera poprawkę bezpieczeństwa. Unikaj klikania w nieznane linki i sprawdzaj poprawność danych wejściowych.
Inne podatności w MaxSite CMS
Zobacz wszystkie- CVE-2026-87929Krytyczne
MaxSite CMS do wersji 109.6 zawiera na stałe zaszyty klucz szyfrowania sesji w pliku application/config/config.php, który nie jest zmieniany podczas instalacji. Umożliwia to nieuwierzytelnionemu atakującemu sfałszowanie ciasteczek sesji administratora poprzez obliczenie HMAC-SHA1 z publicznie znanym kluczem, omijając kontrolę uwierzytelniania w funkcjach is_login() i mso_check_allow().
- CVE-2026-70554Krytyczne
MaxSite CMS zawiera podatność na wstrzykiwanie obiektów PHP, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego kodu poprzez przekazanie kontrolowanych danych w ciasteczku maxsite_comuser do funkcji unserialize() bez walidacji. Możliwe jest wykorzystanie łańcuchów gadgetów, takich jak SoapClient lub Imagick, do zdalnego wykonania kodu.
- CVE-2026-70553Krytyczne
MaxSite CMS zawiera podatność na zdalne wykonanie kodu, która pozwala nieuwierzytelnionym atakującym na wstrzyknięcie dowolnego kodu PHP do pliku konfiguracyjnego aplikacji poprzez wysłanie spreparowanych żądań POST do punktu instalacji po zakończeniu instalacji. Atakujący może wykorzystać wartość db_dbprefix, aby przełamać literał łańcucha PHP i dodać własny kod.
- CVE-2026-70552Krytyczne
MaxSite CMS 109.5 i wcześniejsze zawiera podatność na ominięcie uwierzytelniania w dyspozytorze AJAX, która pozwala nieuwierzytelnionym atakującym na dostęp do punktów końcowych zarezerwowanych dla administratorów poprzez podanie nagłówka X-Requested-With i zakodowanej ścieżki do pliku *-ajax.php. Może to umożliwić manipulację stanami ankiet i liczbą głosów.
- CVE-2026-87930Wysokie
MaxSite CMS do wersji 109.6 przekazuje ciasteczko ci_session do funkcji unserialize() bez ograniczeń klas, co pozwala nieuwierzytelnionym atakującym na wstrzyknięcie obiektów PHP. Atakujący mogą sfałszować prawidłowe ciasteczka sesji używając zakodowanego na stałe klucza szyfrującego, aby wywołać metody magiczne i uszkodzić stan aplikacji lub osiągnąć wykonanie kodu, jeśli istnieją klasy gadżetów.
- CVE-2026-87928Średnie
MaxSite CMS w wersjach od 0.94 do 109.6 zawiera podatność na cross-site scripting (XSS) w obsłudze przesyłania plików w panelu administracyjnym, która pozwala każdemu zalogowanemu użytkownikowi na przesyłanie plików HTML. Atakujący może przesłać HTML zawierający złośliwe skrypty do katalogu uploads/_pages/, które wykonują się w przeglądarkach odwiedzających, umożliwiając trwałe ataki XSS.
- CVE-2026-87927Wysokie
MaxSite CMS do wersji 109.6 zawiera podatność na lokalne dołączanie plików w dyspozytorach ajax i require-maxsite, która pozwala nieuwierzytelnionym atakującym na wykonanie uprzywilejowanych plików handlera poprzez dostarczenie zakodowanych w base64 sekwencji przechodzenia po ścieżkach. Atakujący mogą ominąć walidację ścieżek i wykonać akcje handlera ograniczone do administratora bez uwierzytelnienia, uzyskując dostęp do wrażliwych funkcji.
- CVE-2026-37700Średnie
Podatność na Cross-Site Scripting (XSS) w MaxSite CMS v.109.2 umożliwia zdalnemu atakującemu uzyskanie wrażliwych informacji poprzez endpoint przesyłania plików na stronie backendu używany przez admin_page.
- CVE-2026-7016Niskie
W MaxSite CMS do wersji 109.3 wykryto podatność w nieznanej funkcji komponentu wtyczki ushki. Manipulacja argumentami f_ushka_new/f_ushk prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent klasyfikuje problem jako "Self-XSS" i zaleca aktualizację do wersji 109.4.
- CVE-2026-7015Niskie
W MaxSite CMS do wersji 109.3 wykryto podatność w nieznanym przetwarzaniu komponentu wtyczki Guestbook. Manipulacja argumentami f_text/f_slug/f_limit/f_email prowadzi do cross site scripting. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony. Producent klasyfikuje problem jako "Self-XSS" i zaleca aktualizację do wersji 109.4.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in MaxSite CMS up to 109.3. Affected by this vulnerability is an unknown functionality of the file /admin/plugin_antispam of the component Antispam Plugin. Executing a manipulation of the argument f_logging_file can lead to cross site scripting. It is possible to launch the attack remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 109.4 addresses this issue. This patch is called 8a3946bd0a54bfb72a4d57179fcd253f2c550cd7. Upgrading the affected component is advised. The vendor was informed early about this issue. They classify it as a "Self-XSS". They deployed a countermeasure: "Nevertheless, we consider this a violation of secure coding standards. The lack of filtering via `htmlspecialchars()` has already been fixed in the latest patch to prevent incorrect data display."
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS