CVE-2026-70552 in MaxSite
Сводка
по VulDB • 05.08.2026
В MaxSite CMS версий 109.5 и более ранних присутствует уязвимость обхода аутентификации в диспетчере AJAX, которая позволяет неаутентифицированным злоумышленникам получать доступ к конечным точкам (endpoint), защищенным административными правами, путем передачи заголовка X-Requested-With с любым значением и запроса пути, закодированного в формате base64, который указывает на любой файл *-ajax.php в кодовой базе. Злоумышленники могут использовать этот обход диспетчера для доступа к привилегированным конечным точкам плагинов без предоставления учетных данных, что позволяет выполнять такие действия, как манипулирование состоянием опросов и счетчиками голосов, а также усиливать воздействие любых опасных операций, выполняемых файлами AJAX с доступом только для администраторов в дереве плагинов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.