Opis podatności

CERT Polska otrzymał zgłoszenie o podatnościach w oprogramowaniu OpenSolution QuickCMS i koordynował proces ujawniania informacji.

Podatność CVE-2025-9980: QuickCMS jest podatny na wiele ataków typu Stored XSS w funkcjonalności edytora stron pages-form. Atakujący posiadający uprawnienia administratora może wstrzyknąć dowolny kod HTML i JavaScript do witryny, który zostanie wyrenderowany/wykonany podczas odwiedzania edytowanej strony. Domyślnie użytkownik z uprawnieniami administratora nie ma możliwości dodawania JavaScriptu do witryny.

Podatność CVE-2025-9981: QuickCMS jest podatny na wiele ataków typu Stored XSS w funkcjonalności edytora sliderów sliders-form. Atakujący posiadający uprawnienia administratora może wstrzyknąć dowolny kod HTML i JavaScript do witryny, który zostanie wyrenderowany/wykonany na każdej stronie. Domyślnie użytkownik z uprawnieniami administratora nie ma możliwości dodawania JavaScriptu do witryny.

Producent został wcześnie poinformowany o tej podatności, jednak nie udzielił informacji na temat szczegółów podatności ani zakresu wersji podatnych na atak. Przetestowano i potwierdzono podatność jedynie w wersji 6.8 — inne wersje nie były testowane i również mogą być podatne.

Podziękowania

Za zgłoszenie podatności dziękujemy Bartłomiejowi "Holl0w" Adamskiemu.