CVE-2026-116900
ŚrednieCVSS 5.4Streszczenie
REDAXO przed wersją 5.21.4 zawiera podatność typu stored cross-site scripting, która pozwala edytorom treści wstrzykiwać HTML poprzez przechowywanie nieescapowanych wartości renderowanych przez widgety media, medialist, link i linklist. Atakujący mogą przesyłać spreparowane wartości REX_INPUT_MEDIA lub REX_INPUT_LINK, które wychodzą poza atrybut value i wykonują skrypt w sesjach backendowych administratorów.
Ocena ryzyka
Przejęcie kont administratorów backendu może pozwolić atakującemu na pełną kontrolę nad systemem CMS i jego zawartością.
Rekomendacja
Zaktualizuj REDAXO do wersji 5.21.4 lub nowszej. Dodatkowo rozważ weryfikację i oczyszczenie istniejących danych wprowadzonych przez edytorów.
Inne podatności w REDAXO
Zobacz wszystkie- CVE-2026-117538Średnie
REDAXO przed wersją 5.21.0 zawiera podatność reflected cross-site scripting w API pakietów backendu, gdzie parametr funkcji jest wstawiany do komunikatu błędu renderowanego bez escapowania HTML. Atakujący mogą zwabić uwierzytelnionego użytkownika backendu do spreparowanego linku zawierającego ważny token CSRF, wykonując JavaScript, który wykonuje akcje w tej samej domenie lub odczytuje dane DOM.
- CVE-2026-117537Średnie
REDAXO przed wersją 5.21.0 zawiera podatność reflected cross-site scripting, która pozwala uwierzytelnionym atakującym na wstrzyknięcie skryptów poprzez parametr type w API metainfo_default_fields_create. Atakujący mogą spreparować link z ważnym tokenem CSRF i ładunkiem HTML, który rex_view::message() renderuje bez escapowania, wykonując skrypty w sesji backendu ofiary.
- CVE-2026-117536Wysokie
REDAXO przed wersją 5.21.3 zawiera podatność cross-site request forgery (CSRF) na stronie administracji użytkownikami backendu (users/users), ponieważ sprawdzanie tokenu CSRF odbywa się tylko gdy ustawiony jest parametr save, a ścieżka aktualizacji wywoływana przez FUNC_UPDATE nie wymaga tego sprawdzenia. Atakujący może zwabić zalogowanego użytkownika backendu z uprawnieniem users[] na spreparowany link GET, aby nadać uprawnienia administratora, dezaktywować konta lub zablokować jedynego administratora.
- CVE-2026-117535Średnie
REDAXO przed wersją 5.21.3 zawiera podatność reflected cross-site scripting na stronie szczegółów media pool backendu, gdzie parametr opener_link jest renderowany bez escapowania HTML. Nieuwierzytelnieni atakujący mogą zwabić zalogowanych użytkowników backendu z uprawnieniami do mediów do kliknięcia spreparowanego linku. Wstrzyknięty skrypt może następnie odczytać token CSRF i wykonać akcje z uprawnieniami ofiary, w tym wykonanie kodu poprzez edycję szablonów lub modułów, gdy ofiara jest administratorem.
- CVE-2026-117534Średnie
REDAXO przed wersją 5.21.3 zawiera podatność cross-site request forgery w pluginie structure/history, która pozwala atakującym na usuwanie historii lub przywracanie treści poprzez niezwalidowane żądania GET. Atakujący mogą zwabić zalogowanych użytkowników backendu na stronę wywołującą func=clearall lub rex_history_function=snap, trwale usuwając wszystkie migawki artykułów lub przywracając artykuły do wcześniejszych stanów.
- CVE-2026-117533Średnie
REDAXO od wersji 5.18.0 przed 5.21.4 zawiera podatność stored cross-site scripting, ponieważ rex_media_service przenosi przesłane pliki SVG do publicznego folderu mediów przed ich sanityzacją. Uwierzytelnieni użytkownicy z uprawnieniami do przesyłania w mediapool mogą wyścignąć sanityzator lub wyczerpać limity pamięci, pozostawiając publicznie serwowane pliki SVG z kodem skryptu, wykonując skrypty w sesjach backendu ofiar.
- CVE-2026-116899Średnie
REDAXO przed wersją 5.21.4 zawiera podatność typu broken access control, która pozwala uwierzytelnionym edytorom modyfikować slice w nieautoryzowanych kategoriach poprzez połączenie dozwolonego artykułu z obcym identyfikatorem slice. Atakujący mogą wykorzystać funkcje content/edit delete i edit lub API content_slice_status i content_move_slice do usuwania, przełączania, przenoszenia lub nadpisywania slice innych edytorów.
- CVE-2026-116898Wysokie
REDAXO przed 5.21.4 zawiera brak autoryzacji w masowym przenoszeniu media pool, które sprawdza tylko uprawnienia kategorii docelowej, ignorując źródłową. Zalogowani użytkownicy backendu z uprawnieniami do jednej kategorii mogą przenosić pliki z zastrzeżonych kategorii i po cichu zastępować ich zawartość w całym serwisie.
- CVE-2026-116897Średnie
REDAXO core przed wersją 5.21.4 zawiera podatność typu missing authorization w trybach podglądu frontendowego structure/version i structure/history, które nie sprawdzają uprawnień do kategorii ani clang dla podglądanego artykułu. Każdy użytkownik backendu lub posiadacz uprawnienia history[article_rollback] może ustawić rex_version lub rex_history_date z dowolnymi wartościami article_id, aby odczytać nieopublikowane wersje robocze oraz treści historyczne lub usunięte.
- CVE-2026-116896Wysokie
REDAXO przed 5.21.5 zawiera brak autoryzacji w eksporcie dodatku backup, który akceptuje dowolną tabelę bazy danych. Użytkownicy niebędący administratorami z uprawnieniem backup[export] mogą eksportować tabele rex_user, rex_user_session i tabele innych aplikacji, uzyskując sesje i hasła.
Oryginalny opis (angielski, źródło NVD)
REDAXO before 5.21.4 contains a stored cross-site scripting vulnerability that allows content editors to inject HTML by storing unescaped values rendered by media, medialist, link and linklist widgets. Attackers can submit crafted REX_INPUT_MEDIA or REX_INPUT_LINK values that break out of the value attribute, executing script in administrators' backend sessions to hijack accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS