CVE-2026-63001
ŚrednieCVSS 4.8Streszczenie
REDAXO przed wersją 5.21.2 w funkcji mediaIsInUse() w media_manager.php wstawia nazwę typu Media Manager do surowego HTML ostrzeżenia backendu bez escapowania. Administrator z dostępem do Media Manager może zapisać HTML w nazwie typu, a ładunek wykonuje się w przeglądarce innego administratora próbującego usunąć media powiązane z efektami tego typu.
Ocena ryzyka
Może dojść do kradzieży sesji lub nieautoryzowanych działań w backendzie przez administratora z dostępem do Media Manager, co narusza bezpieczeństwo panelu administracyjnego.
Rekomendacja
Zaktualizuj REDAXO do wersji 5.21.2 lub nowszej. Ogranicz dostęp do Media Manager do zaufanych administratorów.
Inne podatności w REDAXO
Zobacz wszystkie- CVE-2026-63002Średnie
REDAXO przed wersją 5.21.2 w pliku sync.php wstawia nazwy plików z systemu plików mediów do strony synchronizacji Mediapool bez użycia rex_escape(). Atakujący mogący umieścić niezarejestrowany plik ze znakami metaznaków HTML w katalogu mediów może wykonać skrypt w przeglądarce użytkownika backendu z uprawnieniem media[sync].
- CVE-2026-63000Średnie
REDAXO przed wersją 5.21.2 w funkcji rex_api_install_package_update w api_package_update.php dziedziczy domyślną wartość false z rex_api_function::requiresCsrfProtection() zamiast wymagać tokenu CSRF. Nieuwierzytelniony atakujący może spowodować, że przeglądarka zalogowanego administratora zażąda aktualizacji wybranego pakietu z serwera pakietów REDAXO, zmieniając kod zainstalowanego dodatku lub zakłócając działanie strony.
- CVE-2026-62998Średnie
REDAXO przed wersją 5.21.2 w rex_list::getSortColumn() w list.php akceptuje parametr sort bez sprawdzenia, czy setColumnSortable() zarejestrowało żądaną kolumnę. Uwierzytelniony użytkownik backendu może spowodować, że prepareQuery() doda escapowany, ale nieautoryzowany identyfikator ORDER BY, umożliwiając enumerację kolumn w tabelach połączonych i sortowanie po niejawnych polach wrażliwych, takich jak rex_user.password.
- CVE-2026-53599Wysokie
REDAXO od wersji 5.18.2 do 5.21.1 pozwala uwierzytelnionemu użytkownikowi backendu z uprawnieniem media[upload] na przesłanie pliku JPEG/PHP polyglot o nazwie shell.php.any.jpg, który serwery WWW z obsługą wielorozszerzeniowych handlerów PHP mogą wykonać jako użytkownik serwera WWW.
Oryginalny opis (angielski, źródło NVD)
REDAXO is a PHP-based content management system. Prior to 5.21.2, the mediaIsInUse() handler in redaxo/src/addons/media_manager/lib/media_manager.php inserts a Media Manager type name into raw backend warning HTML without escaping it when invoked through MEDIA_IS_IN_USE. An administrator with Media Manager access can store HTML in a type name, and the payload executes in another administrator's browser when that administrator tries to delete media referenced by the type's effects, enabling session theft or unauthorized backend actions. This issue is fixed in version 5.21.2.