CVE-2026-41660

Admidio 4.0.12 do 4.3.17 oraz 5.0.0 przed 5.0.15 zawiera odbitą podatność cross-site scripting w system/redirect.php, która pozwala nieuwierzytelnionym atakującym wstrzykiwać JavaScript przez parametr GET url, z powodu niekompletnej poprawki dla CVE-2021-43810. Atakujący mogą stworzyć URL javascript: zawierający mylący segment http://, który przechodzi walidację i wykonuje skrypt w kontekście Admidio, gdy ofiary klikną link przekierowujący.

Admidio w wersjach od 4.3.2 do 4.3.17 oraz od 5.0.0 do 5.0.15 zawiera lukę złamanej kontroli dostępu, która pozwala administratorom ról przypisywać użytkowników do ról w innych organizacjach. Atakujący mogą wysyłać spreparowane żądania przypisania do members_assignment.php z obcym UUID roli, aby uzyskać uprzywilejowane członkostwo, zalogować się do tej organizacji i edytować jej profile użytkowników.

Admidio 5.0.0 przed 5.0.15 zawiera nieuwierzytelnioną podatność na trwały cross-site scripting w RegistrationPresenter.php, która wstawia surową wartość FIRST_NAME do niekodowanego atrybutu data-message. Atakujący mogą zarejestrować się z podwójnie cytowanym handlerem zdarzeń, który wykonuje JavaScript w sesji administratora po najechaniu na wpis na stronie zarządzania rejestracjami.

Admidio do wersji 5.0.11 włącznie ma podatność CSRF w modules/plugins.php, gdzie operacje instalacji, odinstalowania i aktualizacji wtyczek są wykonywane przez żądania GET bez walidacji tokena CSRF. Atakujący może stworzyć złośliwą stronę, która po odwiedzeniu przez uwierzytelnionego administratora wywołuje dowolne operacje na wtyczkach, w tym odinstalowanie, które wykonuje skrypty DROP TABLE i niszczy dane wtyczek.

Admidio przed wersją 5.0.12 zawiera podatność na złamanie kontroli dostępu w pliku profile_function.php, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na odczyt przyszłych członkostw w rolach innego użytkownika. Atakujący mogą ominąć autoryzację na poziomie profilu, wywołując bezpośrednio endpoint reload_future_memberships z UUID ofiary, aby ujawnić poufne informacje o członkostwie.

Admidio przed wersją 5.0.12 nie egzekwuje ograniczeń modułów wymagających logowania w punktach końcowych RSS dla modułów forum i ogłoszeń. Niezalogowani atakujący mogą pobierać tematy forum i ogłoszenia, wysyłając żądania GET do rss/forum.php lub rss/announcements.php, ujawniając tytuły, pełną treść postów, nazwy autorów i znaczniki czasu.

Admidio przed wersją 5.0.12 nie dezynfekuje nazw albumów w funkcji pobierania zdjęć jako ZIP, co pozwala uwierzytelnionym użytkownikom z prawami tworzenia albumów na umieszczanie sekwencji przejść do katalogów w nazwach wpisów archiwum. Może to prowadzić do zapisu plików poza docelowym katalogiem podczas rozpakowywania.

Admidio przed wersją 5.0.12 zawiera podatność na ślepą iniekcję SQL w parametrze relation_type_list w pliku lists_show.php, która pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych zapytań SQL. Atakujący mogą ominąć uwierzytelnianie, podając fikcyjny UUID w role_list i wstrzykiwać SQL przez relation_type_list, aby wyodrębnić zawartość bazy danych, w tym hashe haseł i dane uwierzytelniające użytkowników.

Admidio to open-source'owe narzędzie do zarządzania użytkownikami. Przed wersją 5.0.10, gdy włączone jest logowanie debugowania, `Session::setCookie()` loguje pełne wartości ciasteczek, a `Session::start()` loguje bieżący identyfikator sesji. W rzeczywistym wdrożeniu Admidio obejmuje to zarówno aktywne ciasteczko sesji, jak i trwałe ciasteczko automatycznego logowania. Każdy, kto ma dostęp do dziennika, może odzyskać aktywne poświadczenia typu bearer z logów. Wersja 5.0.10 zawiera poprawkę.

Admidio to open-source'owe narzędzie do zarządzania użytkownikami. Wersja 5.0.9 dodała brakującą kontrolę `isAdministratorInventory()` do `case 'item_delete':` w `modules/inventory.php`. Ta sama poprawka nie została zastosowana do sąsiedniego `case 'field_delete':`, który niszczy całą definicję pola inwentarza, kaskadowo usuwając wszystkie wiersze `adm_inventory_item_data` i wpisy `adm_inventory_field_options`. Procedura sprawdza tylko token CSRF związany z sesją; nie ma kontroli `isAdministratorInventory()` na poziomie kontrolera, a `Admidio\Inventory\Entity\ItemField::delete()` nie egzekwuje jej na poziomie encji (w przeciwieństwie do `ItemField::save()`, które sprawdza `$gCurrentUser->isAdministrator()`). Każdy zalogowany użytkownik może trwale zniszczyć nie-systemowe pole inwentarza, wysyłając jeden POST. Wersja 5.0.10 zawiera poprawkę.