CVE-2026-70552 in MaxSite
Zusammenfassung
von VulDB • 05.08.2026
MaxSite CMS 109.5 und frühere Versionen enthalten eine Schwachstelle zur Umgehung der Authentifizierung im AJAX-Dispatcher, die es nicht authentifizierten Angreifern ermöglicht, auf Admin-geschützte Endpunkte zuzugreifen, indem sie einen beliebigen X-Requested-With-Header angeben und nach einem base64-codierten Pfad fragen, der zu einer *-ajax.php-Datei in der Codebasis auflöst. Angreifer können diese Umgehung des Dispatchers ausnutzen, um privilegierte Plugin-Endpunkte ohne Anmeldeinformationen zu erreichen, was Aktionen wie das Manipulieren von Umfragezuständen und Stimmenzahlen ermöglicht sowie die Auswirkungen gefährlicher Operationen verstärkt, die von nur für Administratoren verfügbaren AJAX-Dateien im gesamten Plugin-Baum ausgeführt werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.