Resumen ejecutivo
| CVE | Fabricante | Producto | Fecha de publicación | Severidad | CVSS | Puntuación de prioridad | Acción recomendada |
|---|---|---|---|---|---|---|---|
| CVE-2026-70552 | MaxSite | MaxSite CMS | 2026-08-04 | CRÍTICA | 9.3 | 205 | Actualizar a la versión 109.6 o superior. |
Qué es la vulnerabilidad
La vulnerabilidad identificada como CVE-2026-70552 es un bypass de autenticación en el despachador AJAX de MaxSite CMS, un sistema de gestión de contenidos. Según la descripción oficial, las versiones 109.5 y anteriores permiten que atacantes no autenticados accedan a endpoints protegidos para administradores simplemente proporcionando cualquier cabecera X-Requested-With y solicitando una ruta codificada en base64 que resuelva a cualquier archivo *-ajax.php del código base.
De esta forma, un atacante puede eludir los controles de autenticación y llegar a puntos finales privilegiados de plugins sin necesidad de credenciales. Esto posibilita acciones como la manipulación de estados de encuestas y recuentos de votos, y amplifica el impacto de cualquier operación peligrosa que realicen los archivos AJAX de administración en todo el árbol de plugins.
La vulnerabilidad está clasificada como CWE-306: Missing Authentication for Critical Function y ha recibido una puntuación CVSS v4.0 de 9.3 (CRÍTICA), con vector CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N, lo que indica que es explotable de forma remota sin necesidad de autenticación ni interacción del usuario, con alto impacto en la confidencialidad, integridad y disponibilidad.
Productos y versiones vulnerables
Según los datos oficiales de CVE.org, las siguientes versiones están afectadas:
| Producto | Versión afectada | Versión corregida |
|---|---|---|
| MaxSite CMS | 0.78 a 109.5 (inclusive) | 109.6 |
No se han publicado otros productos o versiones afectados en las fuentes consultadas.
Impacto y riesgo
La explotación exitosa de esta vulnerabilidad permite a un atacante no autenticado:
- Acceder a endpoints de administración protegidos.
- Manipular estados de encuestas y recuentos de votos.
- Ejecutar cualquier operación peligrosa implementada en archivos AJAX de administración de plugins.
Dado que el vector de ataque es remoto, no requiere credenciales ni interacción del usuario, y el impacto sobre la confidencialidad, integridad y disponibilidad es alto, el riesgo se considera crítico. La puntuación de prioridad asignada por RyzerBot es de 205, lo que indica una alta urgencia.
Estado de explotación conocida
No publicado por las fuentes consultadas. Las fuentes oficiales (NVD, CVE.org, VulnCheck) no mencionan explotación activa en el momento de la publicación. La selección de esta vulnerabilidad se basa en su gravedad (CVSS 9.3) y su reciente publicación, no en evidencia de explotación.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Si se detecta actividad sospechosa, se recomienda revisar los registros de acceso a archivos *-ajax.php con cabeceras inusuales X-Requested-With.
Cómo comprobar si estás afectado
Para determinar si tu instalación de MaxSite CMS es vulnerable, verifica la versión actual del sistema. Si la versión es igual o inferior a 109.5, estás afectado. La versión 109.6 es la primera que corrige la vulnerabilidad. No se han publicado otros métodos de comprobación en las fuentes oficiales.
Mitigación y actualización
La acción recomendada es actualizar a la versión 109.6 o superior de MaxSite CMS. El fabricante ha publicado la corrección en el siguiente enlace:
También se puede obtener el código fuente desde el repositorio oficial de GitHub:
No se han publicado otras mitigaciones temporales. Se recomienda aplicar la actualización lo antes posible.
Checklist para administradores
- ☐ Identificar la versión de MaxSite CMS instalada.
- ☐ Si la versión es ≤ 109.5, planificar la actualización a 109.6.
- ☐ Revisar los registros de acceso en busca de peticiones a archivos
*-ajax.phpcon cabecerasX-Requested-Withinusuales. - ☐ Verificar la integridad de los datos de encuestas o votos si se utilizan.
- ☐ Confirmar que la actualización se ha aplicado correctamente.
Preguntas frecuentes
¿Qué es CVE-2026-70552?
Es una vulnerabilidad crítica de bypass de autenticación en MaxSite CMS que permite a atacantes no autenticados acceder a funciones de administración.
¿Qué versiones están afectadas?
Las versiones desde 0.78 hasta 109.5 inclusive. La versión 109.6 corrige el problema.
¿Hay algún parche disponible?
Sí, el fabricante ha lanzado la versión 109.6. Se puede descargar desde el sitio oficial.
¿Se ha explotado activamente esta vulnerabilidad?
No publicado por las fuentes consultadas. No hay evidencia de explotación activa en el momento de la publicación.
¿Cómo puedo protegerme si no puedo actualizar inmediatamente?
No se han publicado mitigaciones temporales. Se recomienda priorizar la actualización lo antes posible.
¿Dónde puedo encontrar más información técnica?
En las fuentes oficiales listadas a continuación, incluyendo el aviso de VulnCheck y el repositorio de GitHub.