CVE-2026-63002
ŚrednieCVSS 4.8Streszczenie
REDAXO przed wersją 5.21.2 w pliku sync.php wstawia nazwy plików z systemu plików mediów do strony synchronizacji Mediapool bez użycia rex_escape(). Atakujący mogący umieścić niezarejestrowany plik ze znakami metaznaków HTML w katalogu mediów może wykonać skrypt w przeglądarce użytkownika backendu z uprawnieniem media[sync].
Ocena ryzyka
Może dojść do kradzieży sesji lub nieautoryzowanych działań w backendzie przez użytkownika z uprawnieniem media[sync], co narusza bezpieczeństwo panelu administracyjnego.
Rekomendacja
Zaktualizuj REDAXO do wersji 5.21.2 lub nowszej. Ogranicz możliwość umieszczania plików w katalogu mediów do zaufanych użytkowników.
Inne podatności w REDAXO
Zobacz wszystkie- CVE-2026-63001Średnie
REDAXO przed wersją 5.21.2 w funkcji mediaIsInUse() w media_manager.php wstawia nazwę typu Media Manager do surowego HTML ostrzeżenia backendu bez escapowania. Administrator z dostępem do Media Manager może zapisać HTML w nazwie typu, a ładunek wykonuje się w przeglądarce innego administratora próbującego usunąć media powiązane z efektami tego typu.
- CVE-2026-63000Średnie
REDAXO przed wersją 5.21.2 w funkcji rex_api_install_package_update w api_package_update.php dziedziczy domyślną wartość false z rex_api_function::requiresCsrfProtection() zamiast wymagać tokenu CSRF. Nieuwierzytelniony atakujący może spowodować, że przeglądarka zalogowanego administratora zażąda aktualizacji wybranego pakietu z serwera pakietów REDAXO, zmieniając kod zainstalowanego dodatku lub zakłócając działanie strony.
- CVE-2026-62998Średnie
REDAXO przed wersją 5.21.2 w rex_list::getSortColumn() w list.php akceptuje parametr sort bez sprawdzenia, czy setColumnSortable() zarejestrowało żądaną kolumnę. Uwierzytelniony użytkownik backendu może spowodować, że prepareQuery() doda escapowany, ale nieautoryzowany identyfikator ORDER BY, umożliwiając enumerację kolumn w tabelach połączonych i sortowanie po niejawnych polach wrażliwych, takich jak rex_user.password.
- CVE-2026-53599Wysokie
REDAXO od wersji 5.18.2 do 5.21.1 pozwala uwierzytelnionemu użytkownikowi backendu z uprawnieniem media[upload] na przesłanie pliku JPEG/PHP polyglot o nazwie shell.php.any.jpg, który serwery WWW z obsługą wielorozszerzeniowych handlerów PHP mogą wykonać jako użytkownik serwera WWW.
Oryginalny opis (angielski, źródło NVD)
REDAXO is a PHP-based content management system. Prior to 5.21.2, redaxo/src/addons/mediapool/pages/sync.php inserts filenames held in $diffFiles from the media filesystem into the Mediapool Sync page without rex_escape(). An attacker who can place an unregistered file with HTML metacharacters in the media directory can execute script in the browser of a backend user with media[sync] permission when that user opens the Sync page, enabling session theft or unauthorized backend actions. This issue is fixed in version 5.21.2.