Quick.Cart 软件中的漏洞
CVE ID
CVE-2026-41875
Publication date
2026年9月29日
Vendor
OpenSolution
Product
Quick.Cart
Vulnerable versions
所有版本至 6.7.0
Vulnerability type (CWE)
跨站请求伪造 (CSRF) (CWE-352)
Report source
报告给 CERT Polska
Description
CERT Polska 收到了关于 Quick.Cart 软件漏洞的报告，并参与了其披露的协调。
漏洞 CVE-2026-41875：Quick.Cart 在管理员配置面板中易受跨站请求伪造攻击。恶意攻击者可以制作一个特殊网站，当管理员访问该网站时，将自动发送一个 POST 请求，改变管理员的登录名和密码。
该软件确实实现了对这种攻击类型的简单保护，但可以通过操纵 referer 头轻松绕过。该软件中所有可用的表单都可能存在漏洞。
此问题已在 2026年11月9日 发布的 6.7 版本补丁中修复，未应用此补丁的部署仍然存在漏洞。
Credits
我们感谢 Karol Czubernat 提供的负责任的漏洞报告。
有关 CERT Polska 协调漏洞披露流程的更多信息，请访问 https://cert.pl/en/cvd/。