آسیب‌پذیری در نرم‌افزار Quick.Cart
CVE ID
CVE-2026-41875
تاریخ انتشار
29 سپتامبر 2026
فروشنده
OpenSolution
محصول
Quick.Cart
نسخه‌های آسیب‌پذیر
تمامی نسخه‌ها تا 6.7.0
نوع آسیب‌پذیری (CWE)
تقلب در درخواست بین‌سایتی (CSRF) (CWE-352)
منبع گزارش
گزارش به CERT Polska
توضیحات
CERT Polska گزارشی درباره آسیب‌پذیری در نرم‌افزار Quick.Cart دریافت کرده و در هماهنگی افشای آن شرکت کرده است.
آسیب‌پذیری CVE-2026-41875: Quick.Cart در پنل پیکربندی ادمین به تقلب در درخواست بین‌سایتی آسیب‌پذیر است. مهاجم مخرب می‌تواند وب‌سایت خاصی طراحی کند که وقتی ادمین به آن مراجعه کند، به‌طور خودکار یک درخواست POST ارسال کند که نام کاربری و رمز عبور ادمین را تغییر می‌دهد.
این نرم‌افزار محافظت ساده‌ای در برابر این نوع حمله پیاده‌سازی کرده است، اما به راحتی با دستکاری هدر referer قابل دور زدن است. تمام فرم‌های موجود در این نرم‌افزار به طور بالقوه آسیب‌پذیر هستند.
این مشکل در یک وصله به نسخه 6.7 که در 09.11.2026 منتشر شده است، برطرف شد و استقرارهایی که این وصله را ندارند هنوز آسیب‌پذیر هستند.
اعتبارات
ما از Karol Czubernat برای گزارش مسئولانه آسیب‌پذیری تشکر می‌کنیم.
اطلاعات بیشتر درباره فرآیند افشای هماهنگ آسیب‌پذیری در CERT Polska را می‌توانید در https://cert.pl/en/cvd/ پیدا کنید.