CVE-2021-48016 (CVSS 9.8): DedeCMS bis 5.8.1-beta enthält eine PHP-Code-Injektionsschwachstelle in ShowMsg(), bei der der HTTP-Referer-Header geschrieben wird

Die Empfehlung von VulnCheck besagt, dass DedeCMS bis 5.8.1-beta eine PHP-Code-Injektionsschwachstelle in ShowMsg() enthält, bei der der HTTP-Referer-Header in einen DedeTemplate-String geschrieben und eingebunden wird.[2]Die gleiche Empfehlung besagt, dass unauthentifizierte Angreifer einen manipulierten Referer an /plus/flink.php?dopost=save mit einem leeren Validierungscode senden können, um willkürliche PHP- und Systembefehle auszuführen.[2]Ein GitHub-Schwachstellen-Warnungseintrag, der sich auf NVD-Daten bezieht, listet den Fehler als veröffentlicht: 2026-10-22[3] auf, mit einer CVSS v3.1-Bewertung von 9,8. Die eigene Empfehlung von VulnCheck gibt eine CVSS v4-Bewertung von 9,3 und Kredite: The Shadowserver Foundation[2] an. VulnDB sagt, der Fehler betrifft nur Produkte, die vom Maintainer nicht mehr unterstützt werden[4], und dass keine Form von Authentifizierung für die Ausnutzung erforderlich ist.[4] VulnDB gibt an, dass technische Details der Schwachstelle bekannt sind, aber kein verfügbarer Exploit vorhanden ist.[4] TheHackerWire berichtet jedoch, dass öffentliche Proof-of-Concept (PoC)-Exploit-Referenzen und Code für CVE-2021-48016 verfügbar sind.[5]TheHackerWire berichtet auch, dass der Fehler nicht im CISA Known Exploited Vulnerabilities (KEV)-Katalog registriert ist[5]. VulnCheck gibt an, dass diese Empfehlung in der VulnCheck KEV-Datenbank enthalten ist[2]. Für Verteidiger empfiehlt Hol Benutzern, diese Empfehlung auf einen verfügbaren Fix zu überwachen und alle Installationen des betroffenen Pakets zu überprüfen.[6]