Podatności MacCMS

MacCMS v10 przed wersją 2026.1000.4054 zawiera lukę umożliwiającą obejście uwierzytelniania, ponieważ funkcja check_msg() nigdy nie porównuje msg_to. Atakujący może zażądać kodu odzyskiwania na własną skrzynkę przez user/findpass_msg, a następnie przesłać go do user/findpass_reset z adresem e-mail lub telefonem ofiary, aby przejąć konto.

Maccms 8.x umożliwia zdalne wykonanie polecenia poprzez parametr wd w żądaniu index.php?m=vod-search.

MacCMS v10 do wersji 2026.1000.4056 zawiera lukę mass assignment w index/Comment::saveData(), która pozwala nieuwierzytelnionym atakującym ustawiać dowolne kolumny mac_comment, w tym user_id. Atakujący mogą przesyłać anonimowe komentarze ze spreparowanym parametrem user_id, przypisując je dowolnemu zarejestrowanemu członkowi i podszywając się pod niego.

MacCMS w wersji v10 do 2026.1000.4056 zawiera podatność typu race condition w Card::useData(), która pozwala uwierzytelnionym członkom na wielokrotne wykorzystanie jednej karty doładowania poprzez endpoint user/buy. Atakujący mogą wysyłać wiele równoczesnych żądań flag=card, które przechodzą odczyt karty bez blokady, zanim zostanie ona oznaczona jako użyta, zawyżając user_points w celu zakupu ulepszeń VIP i płatnych treści.

W MacCMS v10 do wersji 2026.1000.4056 nie ograniczono liczby prób wprowadzenia sześciocyfrowego kodu odzyskiwania hasła, co pozwala nieuwierzytelnionym atakującym przejąć konta członków. Atakujący znający adres e-mail lub numer telefonu ofiary może zażądać kodu i brute-force'ować findpass_reset, aby nadpisać hasło członka.

Podatność nieprawidłowej kontroli dostępu w punkcie końcowym /api.php/user/get_list w Maccms v10 v2026.1000.4055. Interfejs nie wykonuje żadnych kontroli uwierzytelniania ani autoryzacji. Nieuwierzytelniony zdalny atakujący może wysłać spreparowane żądanie HTTP GET z parametrami limit i offset, aby paginować i pobrać wrażliwe informacje wszystkich zarejestrowanych użytkowników.