CVE-2026-117538

REDAXO przed wersją 5.21.0 zawiera podatność reflected cross-site scripting, która pozwala uwierzytelnionym atakującym na wstrzyknięcie skryptów poprzez parametr type w API metainfo_default_fields_create. Atakujący mogą spreparować link z ważnym tokenem CSRF i ładunkiem HTML, który rex_view::message() renderuje bez escapowania, wykonując skrypty w sesji backendu ofiary.

REDAXO przed wersją 5.21.3 zawiera podatność cross-site request forgery (CSRF) na stronie administracji użytkownikami backendu (users/users), ponieważ sprawdzanie tokenu CSRF odbywa się tylko gdy ustawiony jest parametr save, a ścieżka aktualizacji wywoływana przez FUNC_UPDATE nie wymaga tego sprawdzenia. Atakujący może zwabić zalogowanego użytkownika backendu z uprawnieniem users[] na spreparowany link GET, aby nadać uprawnienia administratora, dezaktywować konta lub zablokować jedynego administratora.

REDAXO przed wersją 5.21.3 zawiera podatność reflected cross-site scripting na stronie szczegółów media pool backendu, gdzie parametr opener_link jest renderowany bez escapowania HTML. Nieuwierzytelnieni atakujący mogą zwabić zalogowanych użytkowników backendu z uprawnieniami do mediów do kliknięcia spreparowanego linku. Wstrzyknięty skrypt może następnie odczytać token CSRF i wykonać akcje z uprawnieniami ofiary, w tym wykonanie kodu poprzez edycję szablonów lub modułów, gdy ofiara jest administratorem.

REDAXO przed wersją 5.21.3 zawiera podatność cross-site request forgery w pluginie structure/history, która pozwala atakującym na usuwanie historii lub przywracanie treści poprzez niezwalidowane żądania GET. Atakujący mogą zwabić zalogowanych użytkowników backendu na stronę wywołującą func=clearall lub rex_history_function=snap, trwale usuwając wszystkie migawki artykułów lub przywracając artykuły do wcześniejszych stanów.

REDAXO od wersji 5.18.0 przed 5.21.4 zawiera podatność stored cross-site scripting, ponieważ rex_media_service przenosi przesłane pliki SVG do publicznego folderu mediów przed ich sanityzacją. Uwierzytelnieni użytkownicy z uprawnieniami do przesyłania w mediapool mogą wyścignąć sanityzator lub wyczerpać limity pamięci, pozostawiając publicznie serwowane pliki SVG z kodem skryptu, wykonując skrypty w sesjach backendu ofiar.

REDAXO przed wersją 5.21.4 zawiera podatność typu stored cross-site scripting, która pozwala edytorom treści wstrzykiwać HTML poprzez przechowywanie nieescapowanych wartości renderowanych przez widgety media, medialist, link i linklist. Atakujący mogą przesyłać spreparowane wartości REX_INPUT_MEDIA lub REX_INPUT_LINK, które wychodzą poza atrybut value i wykonują skrypt w sesjach backendowych administratorów.

REDAXO przed wersją 5.21.4 zawiera podatność typu broken access control, która pozwala uwierzytelnionym edytorom modyfikować slice w nieautoryzowanych kategoriach poprzez połączenie dozwolonego artykułu z obcym identyfikatorem slice. Atakujący mogą wykorzystać funkcje content/edit delete i edit lub API content_slice_status i content_move_slice do usuwania, przełączania, przenoszenia lub nadpisywania slice innych edytorów.

REDAXO przed 5.21.4 zawiera brak autoryzacji w masowym przenoszeniu media pool, które sprawdza tylko uprawnienia kategorii docelowej, ignorując źródłową. Zalogowani użytkownicy backendu z uprawnieniami do jednej kategorii mogą przenosić pliki z zastrzeżonych kategorii i po cichu zastępować ich zawartość w całym serwisie.

REDAXO core przed wersją 5.21.4 zawiera podatność typu missing authorization w trybach podglądu frontendowego structure/version i structure/history, które nie sprawdzają uprawnień do kategorii ani clang dla podglądanego artykułu. Każdy użytkownik backendu lub posiadacz uprawnienia history[article_rollback] może ustawić rex_version lub rex_history_date z dowolnymi wartościami article_id, aby odczytać nieopublikowane wersje robocze oraz treści historyczne lub usunięte.

REDAXO przed 5.21.5 zawiera brak autoryzacji w eksporcie dodatku backup, który akceptuje dowolną tabelę bazy danych. Użytkownicy niebędący administratorami z uprawnieniem backup[export] mogą eksportować tabele rex_user, rex_user_session i tabele innych aplikacji, uzyskując sesje i hasła.