REDAXO coreに認証回避の脆弱性、5.21.4で修正
Summary
REDAXO coreに、ログインしていない第三者が管理者として管理画面に入れてしまう脆弱性が見つかりました。5.3.0から5.21.3までを使っているサイトが対象で、修正版は5.21.4です。自社サイトの版を確認し、該当すれば更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
REDAXO coreに、ログインしていない第三者が管理者として管理画面に入れてしまう脆弱性が見つかりました。5.3.0から5.21.3までを使っているサイトが対象で、修正版は5.21.4です。自社サイトの版を確認し、該当すれば更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| redaxo | core |
≥ 5.3.0, < 5.21.4 |
5.21.4 |
Original description The description as published by the source.
REDAXO core from 5.3.0 before 5.21.4 contains an authentication bypass vulnerability in the structure/history plugin that allows unauthenticated attackers to forge temporary login tokens. Attackers can force the session-tied secret into a predictable state and forge tokens for accounts like admin, gaining backend access and code execution outside live mode.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com