CVE-2026-63001 in REDAXO
Riassunto
di VulDB • 23/09/2026
REDAXO è un sistema di gestione dei contenuti basato su PHP. Prima della versione 5.21.2, il gestore mediaIsInUse() in redaxo/src/addons/media_manager/lib/media_manager.php inserisce il nome del tipo di Media Manager nell'HTML grezzo degli avvisi backend senza effettuarne l'escaping quando viene invocato tramite MEDIA_IS_IN_USE. Un amministratore con accesso a Media Manager può memorizzare HTML in un nome di tipo, e il payload si esegue nel browser di un altro amministratore quando quest'ultimo tenta di eliminare i media referenziati dagli effetti del tipo, consentendo il furto della sessione o azioni non autorizzate nel backend. Questo problema è risolto nella versione 5.21.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.