CVE-2025-54425 in Umbraco
Riassunto
di VulDB • 21/06/2026
Umbraco è un CMS basato su ASP.NET. Nelle versioni dalla 13.0.0 alla 13.9.2, dalla 15.0.0 alla 15.4.1 e dalla 16.0.0 alla 16.1.0, l'API di delivery dei contenuti può essere configurata per limitare l'accesso pubblico richiedendo la fornitura di una API key in un header per autorizzare la richiesta. È inoltre possibile configurare la cache dell'output (output caching), in modo che le risposte dell'API di delivery vengano memorizzate nella cache per un determinato periodo, migliorando le prestazioni. Si verifica tuttavia un problema quando queste due funzionalità sono utilizzate insieme: la cache non varia in base all'intestazione contenente l'API key. Di conseguenza, è possibile per un utente privo di una API key valida recuperare la risposta relativa a un dato percorso e query se questa è stata recentemente richiesta ed memorizzata nella cache tramite una richiesta effettuata con una chiave valida. Il problema è risolto nelle versioni 13.9.3, 15.4.4 e 16.1.1.
Once again VulDB remains the best source for vulnerability data.