Уязвимость XSS в idccms V1.70 (CVE-2026-88746)
В idccms версии V1.70 обнаружена уязвимость класса Cross Site Scripting (XSS) в файле /admin/makeDiy_deal.php. Эксплуатация возможна в административной панели, что повышает потенциальный риск для привилегированных пользователей. Официальная оценка CVSS в записи CVE не приведена.
Подробности
Согласно описанию, idccms V1.70 подвержен XSS-атаке через файл /admin/makeDiy_deal.php. Уязвимость позволяет внедрять произвольный исполняемый код (скрипты) в содержимое веб-страницы, обрабатываемое браузером жертвы. На практике это может приводить к краже сессионных данных, подмене отображаемого контента или выполнению действий от имени пользователя без его ведома. Ключевая особенность данной записи — расположение уязвимого компонента в каталоге /admin/. Это означает, что для эксплуатации, как правило, требуется доступ к административной части приложения либо предварительная компрометация учётной записи с соответствующими правами. Тем не менее, если злоумышленник способен доставить вредоносную нагрузку привилегированному пользователю, последствия могут быть существенными, поскольку административные аккаунты обладают широкими полномочиями по управлению системой. Дополнительная информация об уязвимости ограничена. В частности, официальные данные о векторе атаки (AV), сложности эксплуатации (AC), требуемых привилегиях (PR), необходимости взаимодействия с пользователем (UI) и влиянии на конфиденциальность, целостность и доступность (C/I/A) в представленной записи отсутствуют. Соответственно, базовая оценка CVSS не приведена, а сведения о затронутых версиях, помимо V1.70, не уточнены.Что делать
В связи с отсутствием официального патча в записи CVE рекомендуется следующий комплекс мер: - Проверить наличие обновлений idccms у разработчика и, при их появлении, незамедлительно установить актуальную версию. - Ограничить доступ к административной панели (каталог /admin/) на уровне сетевой инфраструктуры: использовать VPN, списки разрешённых IP-адресов, размещение интерфейса во внутреннем сегменте сети. - Включить обязательную многофакторную аутентификацию для всех административных учётных записей. - Настроить корректную входную валидацию и экранирование вывода на стороне сервера, если есть возможность правки кода, — это снижает риск исполнения внедрённых скриптов. - Применять Content Security Policy (CSP) и флаги безопасности cookie (HttpOnly, Secure, SameSite), чтобы ограничить последствия возможной эксплуатации. - Вести мониторинг журналов веб-сервера и приложения на предмет подозрительных запросов к /admin/makeDiy_deal.php. Если обновление недоступно, а функциональность скрипта не используется, разумной временной мерой может стать ограничение или блокировка доступа к уязвимому файлу. Итог: CVE-2026-88746 описывает XSS-уязвимость в административном скрипте idccms V1.70. Учитывая расположение в панели управления и отсутствие детальной информации и официального исправления, владельцам систем на базе idccms следует уделить приоритетное внимание ограничению доступа к admin-интерфейсу, мониторингу и скорейшему обновлению продукта при выходе патча.Источник: CVE Project (cvelistV5)