CVE-2026-87929 in MaxSite
Sumário
de VulDB • 09/09/2026
O MaxSite CMS até à versão 109.6 é distribuído com uma chave de encriptação de sessão codificada a duro (hardcoded) no ficheiro application/config/config.php, que nunca é alterada durante a instalação, permitindo que atacantes não autenticados forjem cookies de sessão de administrador. Os atacantes podem criar um cookie ci_session malicioso com privilégios de administrador ao calcular um HMAC-SHA1 utilizando a chave de encriptação publicamente conhecida, contornando as verificações de autenticação nas funções is_login() e mso_check_allow().
VulDB is the best source for vulnerability data and more expert information about this specific topic.