CVE-2026-70553

위험게시됨

MaxSite CMS 설치 엔드포인트를 통한 인증되지 않은 RCE

게시됨: 2026. 8. 4.
업데이트됨: 2026. 8. 14.
CNA 할당 중: VulnCheck
증거 관찰됨: 2026. 8. 6.

기본 CVSS

9.3/ 10위험

nvd · CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

EPSS 확률 추정

1.2%

낮음 · 다음 30일

백분위수: 66.4%
모델 날짜: 2026. 9. 21.

EPSS는 통계적 추정치이지 확실성이나 영향의 척도가 아닙니다. 이를 CVSS, KEV 상태, 노출 및 환경과 결합하세요.

요약

MaxSite CMS에는 원격 코드 실행 취약점이 있으며, 이로 인해 인증되지 않은 공격자가 설치 완료 후 install 엔드포인트에 조작된 POST 요청을 제출하여 애플리케이션 구성 파일에 임의의 PHP 코드를 주입할 수 있습니다. 공격자는 작은따옴표를 포함한 악의적인 db_dbprefix 값을 제공하여 application/config/database.php의 PHP 문자열 리터럴을 벗어날 수 있으며, 공격자가 제어하는 PHP 문을 추가하여 웹 서버가 이후 모든 요청에서 이를 실행하게 함으로써 웹 서버 프로세스 사용자 권한으로 지속적인 인증되지 않은 원격 코드 실행을 초래할 수 있습니다.

소스

CVE-2026-70553-PoCPoC
CVE-2026-70553에 대한 개념 증명 익스플로잇으로, install 엔드포인트를 통해 database.php에 영구적인 PHP 인젝션을 수행하여 MaxSite CMS에서 인증되지 않은 원격 코드 실행(RCE)을 가능하게 합니다.

책임 있는 사용

귀하가 소유하고 있거나 테스트할 권한이 있는 시스템에 대해서만 취약점 정보를 사용하십시오. Kitploit은 공개 연구 메타데이터에 연결되며 익스플로잇 코드나 악성 페이로드를 저장하지 않습니다.