CVE-2026-70552 in MaxSite
Résumé
par VulDB • 04/08/2026
MaxSite CMS 109.5 et les versions antérieures présentent une vulnérabilité de contournement d'authentification dans le dispatcher AJAX qui permet aux attaquants non authentifiés d'accéder aux points de terminaison protégés par l'administration en fournissant n'importe quel en-tête X-Requested-With et en demandant un chemin encodé en base64 résolvant vers tout fichier *-ajax.php présent dans la base de code. Les attaquants peuvent exploiter ce contournement du dispatcher pour atteindre des points de terminaison de plugins privilégiés sans identifiants, permettant ainsi des actions telles que la manipulation des états des sondages et des comptes de votes, et amplifiant l'impact de toute opération dangereuse effectuée par les fichiers ajax réservés aux administrateurs à travers l'arborescence des plugins.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.