Quick.CMS espone il server a code execution via HTTP
Quick.CMS non rompe per un parser debole, ma per la fiducia concessa a dati amministrativi trasmessi in chiaro. Se un attaccante può alterare il traffico prima che arrivi al server, può sostituire l’oggetto serializzato e farlo ricostruire dall’applicazione, trasformando il canale di trasporto in un varco per code execution.
CERT Polska indica CVE-2026-11860 in OpenSolution Quick.CMS: la deserializzazione di dati controllati dall’utente su HTTP può portare a arbitrary code execution quando un amministratore apre il pannello. La correzione è nella v6.8, pubblicata il 14 maggio 2026, e limita la comunicazione a HTTPS invece di affidarsi solo a una validazione del contenuto.
Per chi usa Quick.CMS senza questa patch, il rischio non è il furto di credenziali nel login, ma la manipolazione in transito di ciò che l’app considera fidato. Qui il controllo decisivo è il trasporto: finché resta HTTP, il payload può essere cambiato sulla rete e non solo all’ingresso dell’interfaccia.