Blog 24/7
ARK. 1 · 1 min czytaniaPolska ·

Luka CSRF w Quick.Cart (CVE-2026-41875) pozwala zmienić login i hasło administratora

CERT Polska opisał podatność CVE-2026-41875 w Quick.Cart. Spreparowana strona może zmienić dane logowania administratora. Poprawka jest w łatce do wersji 6.7.

Karta wpisu: Luka CSRF w Quick.Cart (CVE-2026-41875) pozwala zmienić login i hasło administratora

Podatność CVE-2026-41875 w Quick.Cart pozwala zmienić login i hasło administratora za pomocą spreparowanej strony internetowej. Poprawka jest w łatce do wersji 6.7. CERT Polska otrzymał zgłoszenie i koordynował ujawnienie informacji o luce.

To luka typu Cross-Site Request Forgery w panelu konfiguracyjnym administratora. Atakujący przygotowuje stronę, która po odwiedzeniu przez administratora sama wysyła żądanie POST ze zmianą loginu i hasła. Quick.Cart ma proste zabezpieczenia przed takim atakiem, ale można je łatwo obejść, manipulując nagłówkiem referer. Podatność zgłosił Karol Czubernat.

Kogo dotyczy

Podatne są instancje Quick.Cart bez łatki do wersji 6.7. Według CERT Polska ryzyko nie kończy się na formularzu z danymi administratora: potencjalnie podatne są wszystkie formularze dostępne w tym oprogramowaniu.

Co zrobić

Zainstaluj łatkę do wersji 6.7. CERT Polska podaje wprost, że instancje bez tej łatki pozostają podatne.

TAB. 2

Źródła

1
CERT Polska — Podatność w oprogramowaniu Quick.Cartcert.pl
TAB. 3

Powiązane

3
04.11.2026PolskaFałszywe kupony Rossmanna prowadzą do subskrypcji za kilkaset złotych
04.11.2026PolskaFałszywa karta Rossmanna za 2000 zł kończy się subskrypcją 12,30 zł co 7 dni
04.11.2026PolskaWyciek danych klientów sklepu Muve.pl przez lukę w aplikacji do obsługi płatności

Wszystkie wpisy →

Blog 24/7
05.11CISA i FBI wzywają do zabezpieczenia sterowników chłodzenia po atakach w Europietherecord.media05.11Midnight Blizzard atakowała iPhone'y i Androidy przez zainfekowane strony w Europie i USAsecurityweek.com05.11APT29 kradła dane z iPhone'ów i Androidów przez przejęte i podrobione stronytherecord.media05.11Grupa APT29 przejęła skrypt Plerdy i atakowała niezałatane iPhone'y i Androidythehackernews.com05.11Microsoft wykrył 7,3 mld wiadomości phishingowych w III kwartale 2026microsoft.com05.11DigiCert ujawnia wyciek danych klientów i skanów dokumentów tożsamościbleepingcomputer.com05.11CWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksableepingcomputer.com05.11Brytyjskie NCSC ostrzega, że narzędzia AI zwiększyły liczbę wykrywanych luk zero-daythehackernews.com05.11Skaner RootEvidence sprawdza starą lukę w Cisco IOS i dodaje nagłówki Opt-Outisc.sans.edu05.11Włamanie do portalu grantowego Norad, zagrożone dane 20 614 użytkownikówhelpnetsecurity.com