CVE-2016-20053
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Redaxo CMS 5.2 zawiera podatność na fałszerstwo żądania międzywitrynowego (CSRF), która umożliwia nieuwierzytelnionym atakującym tworzenie kont administracyjnych poprzez nakłonienie uwierzytelnionych administratorów do odwiedzenia złośliwych stron. Atakujący mogą przygotować formularze HTML kierujące do punktu końcowego użytkowników z ukrytymi polami zawierającymi dane uwierzytelniające i parametry konta, aby dodać nowe konto administratora bez zgody użytkownika.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego utworzenia konta administratora, co może prowadzić do całkowitego przejęcia kontroli nad systemem CMS przez atakującego.
Rekomendacja
Należy zaktualizować Redaxo CMS do najnowszej wersji, która zawiera poprawki zabezpieczeń przed CSRF, oraz wdrożyć mechanizmy ochrony, takie jak tokeny CSRF i walidacja nagłówka Origin.
Inne podatności w Redaxo CMS
Zobacz wszystkie- CVE-2025-64050Wysokie
W REDAXO CMS 5.20.0 w komponencie zarządzania szablonami występuje podatność zdalnego wykonania kodu (RCE). Uwierzytelniony administrator może wstrzyknąć kod PHP do aktywnego szablonu, a ładunek wykonuje się, gdy odwiedzający uzyskują dostęp do stron frontendowych korzystających z tego szablonu.
- CVE-2025-64049Średnie
W REDAXO CMS 5.20.0 w komponencie zarządzania modułami występuje podatność typu stored XSS. Zdalni użytkownicy mogą wstrzyknąć dowolny skrypt lub HTML poprzez pole Output code w modułach; ładunek jest wykonywany, gdy użytkownik przegląda lub edytuje artykuł, dodając slice korzystający ze zmodyfikowanego modułu.
Oryginalny opis (angielski, źródło NVD)
Redaxo CMS 5.2 contains a cross-site request forgery vulnerability that allows unauthenticated attackers to create administrative user accounts by tricking authenticated administrators into visiting malicious pages. Attackers can craft HTML forms targeting the users endpoint with hidden fields containing admin credentials and account parameters to add new administrator accounts without user consent.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS