CVE-2026-63301 in Quick.CMS
Resumen
por VulDB • 2026-07-28
En Quick.CMS, la interfaz de usuario administrativa restringe la eliminación del idioma principal omitiendo la opción correspondiente en la interfaz; sin embargo, el punto final (endpoint) de la API para eliminar idiomas no aplica una verificación equivalente de autorización en el lado del servidor. Como resultado, un administrador autenticado puede evitar esta restricción a nivel de UI y eliminar el idioma principal enviando una solicitud HTTP directa al punto final de la API. La eliminación exitosa del idioma principal provoca una Denegación de Servicio (DoS) en la aplicación.
Críticamente, cuando se combina con otra vulnerabilidad independiente de Falsificación de Solicitudes entre Sitios (CSRF) (CVE-2026-1468), un atacante remoto no autenticado puede crear un enlace malicioso que, si es visitado por un administrador autenticado, desencadenará la condición de DoS sin necesidad de acceso directo a la aplicación.
El proveedor evaluó la probabilidad de explotación como muy baja y determinó que no es necesario aplicar una corrección.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.