CVE-2026-63000
ŚrednieCVSS 6.4Streszczenie
REDAXO przed wersją 5.21.2 w funkcji rex_api_install_package_update w api_package_update.php dziedziczy domyślną wartość false z rex_api_function::requiresCsrfProtection() zamiast wymagać tokenu CSRF. Nieuwierzytelniony atakujący może spowodować, że przeglądarka zalogowanego administratora zażąda aktualizacji wybranego pakietu z serwera pakietów REDAXO, zmieniając kod zainstalowanego dodatku lub zakłócając działanie strony.
Ocena ryzyka
Może dojść do nieautoryzowanej zmiany kodu dodatków lub zakłócenia działania strony bez wiedzy administratora, co podważa integralność systemu.
Rekomendacja
Zaktualizuj REDAXO do wersji 5.21.2 lub nowszej. Do czasu aktualizacji rozważ ograniczenie dostępu do panelu administracyjnego i monitorowanie zmian w dodatkach.
Inne podatności w REDAXO
Zobacz wszystkie- CVE-2026-63002Średnie
REDAXO przed wersją 5.21.2 w pliku sync.php wstawia nazwy plików z systemu plików mediów do strony synchronizacji Mediapool bez użycia rex_escape(). Atakujący mogący umieścić niezarejestrowany plik ze znakami metaznaków HTML w katalogu mediów może wykonać skrypt w przeglądarce użytkownika backendu z uprawnieniem media[sync].
- CVE-2026-63001Średnie
REDAXO przed wersją 5.21.2 w funkcji mediaIsInUse() w media_manager.php wstawia nazwę typu Media Manager do surowego HTML ostrzeżenia backendu bez escapowania. Administrator z dostępem do Media Manager może zapisać HTML w nazwie typu, a ładunek wykonuje się w przeglądarce innego administratora próbującego usunąć media powiązane z efektami tego typu.
- CVE-2026-62998Średnie
REDAXO przed wersją 5.21.2 w rex_list::getSortColumn() w list.php akceptuje parametr sort bez sprawdzenia, czy setColumnSortable() zarejestrowało żądaną kolumnę. Uwierzytelniony użytkownik backendu może spowodować, że prepareQuery() doda escapowany, ale nieautoryzowany identyfikator ORDER BY, umożliwiając enumerację kolumn w tabelach połączonych i sortowanie po niejawnych polach wrażliwych, takich jak rex_user.password.
- CVE-2026-53599Wysokie
REDAXO od wersji 5.18.2 do 5.21.1 pozwala uwierzytelnionemu użytkownikowi backendu z uprawnieniem media[upload] na przesłanie pliku JPEG/PHP polyglot o nazwie shell.php.any.jpg, który serwery WWW z obsługą wielorozszerzeniowych handlerów PHP mogą wykonać jako użytkownik serwera WWW.
Oryginalny opis (angielski, źródło NVD)
REDAXO is a PHP-based content management system. Prior to 5.21.2, rex_api_install_package_update in redaxo/src/addons/install/lib/api/api_package_update.php inherits the false default from rex_api_function::requiresCsrfProtection() instead of requiring a CSRF token. An unauthenticated attacker can cause a logged-in administrator's browser to request a selected package update from the configured REDAXO package server, changing installed addon code or disrupting the site without the administrator's intent. This issue is fixed in version 5.21.2.