Opis podatności

CERT Polska otrzymał zgłoszenie o podatności w oprogramowaniu Quick.Cart i koordynował proces ujawniania informacji.

Podatność CVE-2026-41875: W Quick.Cart zidentyfikowano podatność typu Cross-Site Request Forgery w panelu konfiguracyjnym administratora. Atakujący może przygotować specjalną stronę internetową, która po odwiedzeniu przez administratora automatycznie wyśle żądanie POST, zmieniające login i hasło administratora. Quick.Cart implementuje proste mechanizmy zabezpieczające przed tego typu atakiem, jednak można je łatwo obejść poprzez manipulację nagłówkiem referer. Wszystkie formularze dostępne w tym oprogramowaniu są potencjalnie podatne.

Problem ten został rozwiązany w łatce do wersji 6.7 opublikowanej dnia 09.11.2026. Instancje bez tej łatki pozostają podatne.

Podziękowania

Za zgłoszenie podatności dziękujemy Karolowi Czubernatowi.