Podatności REDAXO

REDAXO przed wersją 5.21.2 w pliku sync.php wstawia nazwy plików z systemu plików mediów do strony synchronizacji Mediapool bez użycia rex_escape(). Atakujący mogący umieścić niezarejestrowany plik ze znakami metaznaków HTML w katalogu mediów może wykonać skrypt w przeglądarce użytkownika backendu z uprawnieniem media[sync].

REDAXO przed wersją 5.21.2 w funkcji mediaIsInUse() w media_manager.php wstawia nazwę typu Media Manager do surowego HTML ostrzeżenia backendu bez escapowania. Administrator z dostępem do Media Manager może zapisać HTML w nazwie typu, a ładunek wykonuje się w przeglądarce innego administratora próbującego usunąć media powiązane z efektami tego typu.

REDAXO przed wersją 5.21.2 w funkcji rex_api_install_package_update w api_package_update.php dziedziczy domyślną wartość false z rex_api_function::requiresCsrfProtection() zamiast wymagać tokenu CSRF. Nieuwierzytelniony atakujący może spowodować, że przeglądarka zalogowanego administratora zażąda aktualizacji wybranego pakietu z serwera pakietów REDAXO, zmieniając kod zainstalowanego dodatku lub zakłócając działanie strony.

REDAXO przed wersją 5.21.2 w rex_list::getSortColumn() w list.php akceptuje parametr sort bez sprawdzenia, czy setColumnSortable() zarejestrowało żądaną kolumnę. Uwierzytelniony użytkownik backendu może spowodować, że prepareQuery() doda escapowany, ale nieautoryzowany identyfikator ORDER BY, umożliwiając enumerację kolumn w tabelach połączonych i sortowanie po niejawnych polach wrażliwych, takich jak rex_user.password.

REDAXO od wersji 5.18.2 do 5.21.1 pozwala uwierzytelnionemu użytkownikowi backendu z uprawnieniem media[upload] na przesłanie pliku JPEG/PHP polyglot o nazwie shell.php.any.jpg, który serwery WWW z obsługą wielorozszerzeniowych handlerów PHP mogą wykonać jako użytkownik serwera WWW.