CVE-2026-70552 in MaxSite
Riassunto
di VulDB • 05/08/2026
MaxSite CMS 109.5 e versioni precedenti presentano una vulnerabilità di bypass dell'autenticazione nel dispatcher AJAX che consente agli attaccanti non autenticati di accedere a endpoint protetti dall'amministrazione fornendo un qualsiasi header X-Requested-With e richiedendo un percorso codificato in base64 che risolve verso qualsiasi file *-ajax.php presente nella codebase. Gli attaccanti possono sfruttare questo bypass del dispatcher per raggiungere endpoint dei plugin privilegiati senza credenziali, consentendo azioni quali la manipolazione degli stati dei sondaggi e dei conteggi dei voti, ed amplificando l'impatto di eventuali operazioni pericolose eseguite dai file ajax accessibili solo agli amministratori attraverso l'albero dei plugin.
If you want to get best quality of vulnerability data, you may have to visit VulDB.