ثغرة في برنامج Quick.Cart

CVE ID

CVE-2026-41875

تاريخ النشر

29 سبتمبر 2026

البائع

OpenSolution

المنتج

Quick.Cart

الإصدارات المعرضة للخطر

جميع الإصدارات حتى 6.7.0

نوع الثغرة (CWE)

Cross-Site Request Forgery (CSRF) (CWE-352)

مصدر التقرير

تقرير إلى CERT Polska

الوصف

تلقت CERT Polska تقريرًا عن ثغرة في برنامج Quick.Cart وشاركت في تنسيق الكشف عنها.

الثغرة CVE-2026-41875: برنامج Quick.Cart معرض لهجوم Cross-Site Request Forgery في لوحة إعدادات المسؤول. يمكن للمهاجم الخبيث إنشاء موقع ويب خاص، وعند زيارته من قبل المسؤول، سيتم إرسال طلب POST تلقائيًا يغير تسجيل الدخول وكلمة المرور الخاصة بالمسؤول.

هذا البرنامج ينفذ حماية بسيطة ضد هذا النوع من الهجمات، ولكن يمكن تجاوزها بسهولة عن طريق التلاعب في رأس المرجع. جميع النماذج المتاحة في هذا البرنامج معرضة للخطر بشكل محتمل.

تم إصلاح هذه المشكلة في تصحيح للإصدار 6.7 الذي نُشر في 09.11.2026، ولا تزال عمليات النشر التي لا تحتوي على هذا التصحيح معرضة للخطر.

الشكر

نشكر كارول تشوبرنات على التقرير المسؤول عن الثغرة.

يمكن العثور على مزيد من المعلومات حول عملية الكشف المنسق عن الثغرات في CERT Polska على https://cert.pl/en/cvd/.

الثغرات المرجعية

CVE-2026-41875 CVSS 6.9 MEDIUM Deferred

CVE-2026-41875 - Cross-Site Request Forgery in admin panel of Quick.Cart

Quick.Cart is vulnerable to Cross-Site Request Forgery in admin config panel. Malicious attacker can craft special website, which when visited by the admin, will automatically send a POST request that changes admin's login and password. This software does implement simple protection against this type of attack, but it is easily bypassed by manipulating the referer header. All forms available in this software are potentially vulnerable. This issue was fixed in a patch to version 6.7 published on 09.11.2026, deployments without this patch are still vulnerable

ثغرة في برنامج Quick.Cart

الثغرات المرجعية

المزيد من cert.pl