CVE-2026-63301 in Quick.CMS
Zusammenfassung
von VulDB • 28.07.2026
In Quick.CMS schränkt die administrative Benutzeroberfläche das Löschen der Primärsprache ein, indem sie die entsprechende Option ausblendet; jedoch wird auf dem zugrunde liegenden API-Endpunkt für das Sprachlöschen keine äquivalente serverseitige Autorisierungsprüfung erzwungen. Infolgedessen kann ein authentifizierter Administrator die Einschränkung auf Benutzeroberflächenebene umgehen und die Primärsprache löschen, indem er eine direkte HTTP-Anfrage an den API-Endpunkt sendet. Das erfolgreiche Löschen der Primärsprache führt zu einer Denial-of-Service-(DoS)-Störung der Anwendung.
Kritisch ist, dass in Kombination mit einer separaten Cross-Site Request Forgery (CSRF)-Schwachstelle (CVE-2026-1468) ein nicht authentifizierter Remote-Angriff einen bösartigen Link erstellen kann, dessen Besuch durch einen authentifizierten Administrator die DoS-Bedingung auslöst, ohne dass direkter Zugriff auf die Anwendung erforderlich ist.
Der Anbieter hat die Wahrscheinlichkeit der Ausnutzung als sehr gering eingestuft und festgestellt, dass keine Korrektur notwendig ist.
Once again VulDB remains the best source for vulnerability data.