CVE-2026-87930criticalCWE-502

CVE-2026-87930: fallo crítico en MaxSite CMS

MaxSite CMS through 109.6 PHP Object Injection via ci_session

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear CMS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

48Vexday Risk Score

Sin señal de explotación. Ella tiene prueba de concepto pública.

ssvc Attendcvss 9.2epss 0.6%
de la publicación al arma8 días
Publicada en NVD9 sept
1ª PoC+8d
MaxSite CMS through 109.6 passes the ci_session cookie to unserialize() without class restrictions, allowing unauthenticated attackers to inject PHP objects. Attackers can forge valid session cookies using the hardcoded encryption key to trigger magic methods and corrupt application state or achieve code execution if gadget classes exist.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Productos afectados
MaxSite · MaxSite CMS
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — MaxSite CMS

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-70553CRITICALMaxSite CMS Unauthenticated RCE via Install EndpointEPSS 1.3%CVE-2026-70554CRITICALMaxSite CMS Unauthenticated PHP Object Injection via maxsite_comuser CookieEPSS 1.2%CVE-2026-70552CRITICALMaxSite CMS 109.5 Unauthenticated AJAX Dispatcher Bypass via ajax.phpEPSS 0.8%CVE-2026-87927HIGHMaxSite CMS through 109.6 Local File Inclusion via ajax dispatcherEPSS 0.6%CVE-2026-87929CRITICALMaxSite CMS through 109.6 Authentication Bypass via Hardcoded Encryption KeyEPSS 0.5%CVE-2026-87928MEDIUMMaxSite CMS 0.94 through 109.6 HTML Upload XSS via admin_pageEPSS 0.3%