CVE-2026-11860
Açıklama
Quick.CMS, düz metin HTTP üzerinden alınan kullanıcı kontrollü verileri bütünlük veya kimlik doğrulaması sağlamadan deserialize etmektedir. Bu durum, saldırganların iletim halindeki serialize edilmiş payload'lar üzerinde değişiklik yapmasına ve kötü amaçlı nesneler enjekte etmesine olanak tanır. Deserialization işlemi uygun doğrulama veya sınıf kısıtlamaları olmadan gerçekleştirildiği için, özel olarak hazırlanmış payload'lar tehlikeli magic method'ları (örneğin, __wakeup() ve __destruct()) tetikleyebilir ve gadget chain yapılarını kullanarak rastgele kod çalıştırılmasına yol açabilir. İstismar, bir yöneticinin admin paneline erişmesiyle otomatik olarak tetiklenir. Başarıyla istismar edildiğinde bu zafiyet, saldırganların korumasız bir kanal üzerinden iletilen manipüle edilmiş serialize veriler aracılığıyla sunucuda rastgele kod çalıştırmasına izin verir. Bu sorun, 14.05.2026 tarihinde yayınlanan sürüm 6.8 yamasıyla iletişimin HTTPS ile sınırlandırılmasıyla giderilmiştir; bu yamanın uygulanmadığı kurulumlar savunmasız kalmaya devam etmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| OpenSolution Quick.CMS | v ≤ 6.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.