CVE-2026-116214: Account takeover in MacCMS v10 senza autenticazione

La CVE-2026-116214 è una vulnerabilità di bypass di autenticazione in MacCMS v10 prima della versione 2026.1000.4054. Consente a attaccanti non autenticati di resettare la password di qualsiasi account utente. Il difetto risiede in check_msg() che non convalida il parametro msg_to: l'attaccante richiede un codice recovery alla propria mailbox, poi lo usa per resettare la password della vittima tramite user/findpass_reset.

Con un punteggio CVSS di 9,1 e classificazione critical, la vulnerabilità ha un impatto critico su confidenzialità, integrità e disponibilità dei dati. È stata iscritta su NVD il 26 ottobre 2026. A novembre 2026 sono stati rilevati segnali pubblici di exploit disponibili su repository GitHub, confermando che la minaccia è effettiva e potenzialmente in uso attivo.

Gli amministratori che gestiscono MacCMS v10 devono aggiornare immediatamente alla versione 2026.1000.4054 o successiva. Nel periodo precedente l'aggiornamento, monitorare attentamente i log di accesso e reset password per rilevare attività anomale, verificare timeout di sessione e rate limiting adeguati, e se possibile limitare l'accesso alle funzioni di reset password ai soli utenti autenticati.