PT-2026-49188 · Quick.Cms · Quick.Cms

Arkadiusz Marta · Publicado 2026-06-15 · Atualizado 2026-06-15 · CVE-2026-11860

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.5

Alta

Vetor base

AV:A/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Quick.CMS versões anteriores a 6.8

Description O Quick.CMS desserializa dados controlados pelo usuário recebidos via HTTP em texto simples sem garantir a integridade ou autenticidade. Isso permite que atacantes adulterem payloads serializados em trânsito e injetem objetos maliciosos. Como a desserialização é realizada sem a validação adequada ou restrições de classe, payloads manipulados podem acionar métodos mágicos perigosos, como wakeup() e destruct(), e utilizar gadget chains para alcançar a execução de código arbitrário. A exploração ocorre automaticamente quando um administrador acessa o painel de administração.

Recommendations Atualize para a versão 6.8 ou posterior para garantir que a comunicação seja limitada ao HTTPS.

Correção

RCE

Code Injection

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-94

CWE-502

Identificadores relacionados

CVE-2026-11860

Produtos afetados

Quick.Cms

Referências · 8

• https://twitter.com/CVEnew/status/2066583824813723841 · Publicação no Twitter
• https://opensolution.org · Nota
• https://twitter.com/infoflowcloud/status/2066584355552526680 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2066475011284598923 · Publicação no Twitter
• https://twitter.com/f1tym1/status/2066458127436837175 · Publicação no Twitter
• https://cert.pl/posts/2026/06/CVE-2026-11860 · Nota
• https://t.me/CVEtracker/56848 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-11860 · Nota de Segurança