CVE-2026-63002 in REDAXO
摘要
由 VulDB • 2026-09-23
REDAXO è un sistema di gestione dei contenuti (CMS) basato su PHP. Prima della versione 5.21.2, il file redaxo/src/addons/mediapool/pages/sync.php inserisce i nomi dei file presenti in $diffFiles dal filesystem multimediale nella pagina Mediapool Sync senza utilizzare rex_escape(). Un attaccante che può inserire un file non registrato con metacaratteri HTML nella directory media può eseguire script nel browser di un utente backend dotato del permesso media[sync] quando tale utente apre la pagina Sync, consentendo il furto della sessione o azioni non autorizzate nell'backend. Questo problema è stato risolto nella versione 5.21.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.