CVE-2026-87929

Nome do Software Vulnerável e Versões Afetadas MaxSite CMS versões anteriores a 109.7

Descrição O software contém uma chave de criptografia de sessão codificada no arquivo application/config/config.php que não é alterada durante a instalação. Isso permite que invasores não autenticados forjem cookies de sessão de administrador ao computar um HMAC-SHA1 (um código de autenticação de mensagem com hash baseado em chave) usando a chave conhecida. Ao criar um cookie ci session malicioso, os invasores podem ignorar as verificações de autenticação realizadas pelas funções is login() e mso check allow() para obter privilégios de administrador.

Recomendações Atualize o MaxSite CMS para uma versão posterior à 109.6. Como medida de mitigação temporária, altere a chave de criptografia de sessão codificada no arquivo application/config/config.php.