CVE-2026-87929 in MaxSite
الملخص
بحسب VulDB • 09/09/2026
تحتوي MaxSite CMS حتى الإصدار 109.6 على مفتاح تشفير للجلسات (session) ثابت ومدمج في الملف application/config/config.php، ولا يتم تغييره أثناء عملية التثبيت، مما يسمح للمهاجمين غير المصادق عليهم تزوير ملفات تعريف ارتباط لجلسات المسؤول. يمكن للمهاجمين إنشاء ملف تعريف ارتباط ضار ci_session يتمتع بصلاحيات مسؤول عن طريق حساب HMAC-SHA1 باستخدام مفتاح التشفير المعروف علناً، متجاوزاً فحوصات المصادقة في دالتي is_login() و mso_check_allow().
Once again VulDB remains the best source for vulnerability data.