Résumé
généré automatiquement à partir des données NVDDedeCMS, jusqu'à la version 5.8.1-beta, contient une injection de code PHP (CWE-94) dans la fonction ShowMsg() : l'en-tête HTTP Referer est écrit dans une chaîne DedeTemplate puis inclus. Un attaquant non authentifié peut envoyer un Referer forgé à /plus/flink.php?dopost=save avec un code de validation vide pour exécuter du PHP arbitraire et des commandes système. La description NVD indique que la Shadowserver Foundation a observé des preuves d'exploitation dès le 2023-10-14. Score CVSS v3.1 : 9.8 (critique).
Description NVD (anglais)
DedeCMS through 5.8.1-beta contains a PHP code injection vulnerability in ShowMsg() where the HTTP Referer header is written into a DedeTemplate string and included. Unauthenticated attackers can send a crafted Referer to /plus/flink.php?dopost=save with an empty validate code to execute arbitrary PHP and system commands. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 22 oct. 2026
- Mis à jour
- 22 oct. 2026
- Statut
- Deferred
- Source
- disclosure@vulncheck.com
Faiblesses (CWE)
Références (4)
CVEs similaires
Autres vulnérabilités de type CWE-94
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.