You are viewing this page in an unauthorized frame window.
This is a potential security issue, you are being redirected to
https://nvd.nist.gov
An official website of the United States government
Official websites use .gov
A .gov website belongs to an official government organization in the United States.
Secure .gov websites use HTTPS
A lock () or https:// means you've safely connected to the .gov website. Share sensitive information only on official, secure websites.
This CVE record is not being prioritized for NVD enrichment efforts due to resource or other concerns.
Description
Quick.CMS deserializes user-controlled data received over plaintext HTTP without ensuring integrity or authenticity. This allows attackers to tamper with serialized payloads in transit and inject malicious objects. Because deserialization is performed without proper validation or class restrictions, crafted payloads can trigger dangerous magic methods (e.g., __wakeup() and __destruct()) and leverage gadget chains, resulting in arbitrary code execution. Exploitation is triggered automatically when an administrator accesses the admin panel.
When successfully exploited, this vulnerability allows attackers to execute arbitrary code on the server via manipulated serialized data transmitted over an unprotected channel.
This issue was mitigated by limiting the communication to HTTPS in a patch for version 6.8 published on 14.05.2026, deployments without this patch remain vulnerable.
Metrics
NVD enrichment efforts reference publicly available information to associate
vector strings. CVSS information contributed by other sources is also
displayed.
By selecting these links, you will be leaving NIST webspace.
We have provided these links to other web sites because they
may have information that would be of interest to you. No
inferences should be drawn on account of other sites being
referenced, or not, from this page. There may be other web
sites that are more appropriate for your purpose. NIST does
not necessarily endorse the views expressed, or concur with
the facts presented on these sites. Further, NIST does not
endorse any commercial products that may be mentioned on
these sites. Please address comments about this page to [email protected].
Title: Quick.CMS de OpenSolution, Description: Quick.CMS deserializa datos controlados por el usuario recibidos a través de HTTP en texto plano sin garantizar la integridad o la autenticidad. Esto permite a los atacantes manipular cargas útiles serializadas en tránsito e inyectar objetos maliciosos. Debido a que la deserialización se realiza sin una validación adecuada o restricciones de clase, las cargas útiles manipuladas pueden desencadenar métodos mágicos peligrosos (p. ej., __wakeup() y __destruct()) y aprovechar cadenas de gadgets, lo que resulta en ejecución de código arbitrario. La explotación se activa automáticamente cuando un administrador accede al panel de administración.
Cuando se explota con éxito, esta vulnerabilidad permite a los atacantes ejecutar código arbitrario en el servidor a través de datos serializados manipulados transmitidos a través de un canal no protegido.
Este problema se mitigó limitando la comunicación a HTTPS en un parche para la versión 6.8 publicado el 14.05.2026; las implementaciones sin este parche siguen siendo vulnerables.
Title: Quick.CMS de OpenSolution, Description: Quick.CMS deserializa datos controlados por el usuario recibidos a través de HTTP en texto plano sin garantizar la integridad o la autenticidad. Esto permite a los atacantes manipular cargas útiles serializadas en tránsito e inyectar objetos maliciosos. Debido a que la deserialización se realiza sin una validación adecuada o restricciones de clase, las cargas útiles manipuladas pueden desencadenar métodos mágicos peligrosos (p. ej., __wakeup() y __destruct()) y aprovechar cadenas de gadgets, lo que resulta en ejecución de código arbitrario. La explotación se activa automáticamente cuando un administrador accede al panel de administración.
Cuando se explota con éxito, esta vulnerabilidad permite a los atacantes ejecutar código arbitrario en el servidor a través de datos serializados manipulados transmitidos a través de un canal no protegido.
Este problema se mitigó limitando la comunicación a HTTPS en un parche para la versión 6.8 publicado el 14.05.2026; las implementaciones sin este parche siguen siendo vulnerables.
CVE Translated by NIST7/23/2026 7:10:00 AM
Action
Type
Old Value
New Value
Added
Translation
Title: Quick.CMS de OpenSolution, Description: Quick.CMS deserializa datos controlados por el usuario recibidos a través de HTTP en texto plano sin garantizar la integridad o la autenticidad. Esto permite a los atacantes manipular cargas útiles serializadas en tránsito e inyectar objetos maliciosos. Debido a que la deserialización se realiza sin una validación adecuada o restricciones de clase, las cargas útiles manipuladas pueden desencadenar métodos mágicos peligrosos (p. ej., __wakeup() y __destruct()) y aprovechar cadenas de gadgets, lo que resulta en ejecución de código arbitrario. La explotación se activa automáticamente cuando un administrador accede al panel de administración.
Cuando se explota con éxito, esta vulnerabilidad permite a los atacantes ejecutar código arbitrario en el servidor a través de datos serializados manipulados transmitidos a través de un canal no protegido.
Este problema se mitigó limitando la comunicación a HTTPS en un parche para la versión 6.8 publicado el 14.05.2026; las implementaciones sin este parche siguen siendo vulnerables.
Quick.CMS deserializes user-controlled data received over plaintext HTTP without ensuring integrity or authenticity. This allows attackers to tamper with serialized payloads in transit and inject malicious objects. Because deserialization is performed without proper validation or class restrictions, crafted payloads can trigger dangerous magic methods (e.g., __wakeup() and __destruct()) and leverage gadget chains, resulting in arbitrary code execution. Exploitation is triggered automatically when an administrator accesses the admin panel.
When successfully exploited, this vulnerability allows attackers to execute arbitrary code on the server via manipulated serialized data transmitted over an unprotected channel.
This issue was mitigated by limiting the communication to HTTPS in a patch for version 6.8 published on 14.05.2026, deployments without this patch remain vulnerable.
) or https:// means you've safely connected to the .gov website. Share sensitive information only on official, secure websites.
