PT-2026-67840 · Unknown · Maxsite Cms
CVE-2026-70552
·
Publicado
2026-08-04
·
Atualizado
2026-08-31
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
MaxSite CMS versões anteriores a 109.6
Description
Existe uma falha de bypass de autenticação no despachante AJAX. Atacantes não autenticados podem acessar endpoints restritos ao administrador fornecendo qualquer cabeçalho
X-Requested-With e solicitando um caminho codificado em base64 que resolva para qualquer arquivo *-ajax.php na base de código. Isso permite o acesso não autorizado a endpoints de plugins privilegiados, possibilitando a manipulação de estados de enquetes e contagens de votos, bem como a execução de operações perigosas realizadas por arquivos AJAX exclusivos de administradores em toda a árvore de plugins.Recommendations
Atualize o MaxSite CMS para uma versão posterior a 109.5.
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Maxsite Cms