CVE-2021-48016 (CVSS 9.8): DedeCMS a través de 5.8.1-beta contiene una vulnerabilidad de inyección de código PHP en ShowMsg() donde el encabezado HTTP Referer se escribe

El aviso de VulnCheck dice que DedeCMS a través de 5.8.1-beta contiene una vulnerabilidad de inyección de código PHP en ShowMsg() donde el encabezado HTTP Referer se escribe en una cadena DedeTemplate e se incluye.[2]El mismo aviso establece que atacantes no autenticados pueden enviar un Referer elaborado a /plus/flink.php?dopost=save con un código de validación vacío para ejecutar comandos PHP y del sistema arbitrarios.[2]Una entrada de alerta de vulnerabilidad de GitHub que cita datos de NVD enumera la falla como publicada: 2026-10-22[3], con una puntuación CVSS v3.1 de 9.8. El propio aviso de VulnCheck da una puntuación CVSS v4 de 9.3 y crédito: La Fundación Shadowserver[2].VulnDB dice que el error solo afecta a productos que ya no cuentan con soporte del mantenedor[4], y que no se requiere ninguna forma de autenticación para la explotación.[4] VulDB establece los detalles técnicos de la vulnerabilidad son conocidos, pero no hay un exploit disponible.[4] Sin embargo, TheHackerWire informa que referencias públicas de proof-of-concept (PoC) y código de exploit están disponibles para CVE-2021-48016.[5]TheHackerWire también informa que la falla no está registrada en el catálogo CISA Known Exploited Vulnerabilities (KEV)[5]. VulnCheck establece que este aviso está en la base de datos KEV de VulnCheck[2].Para los defensores, Hol aconseja a los usuarios que monitoreen este aviso para una corrección disponible y revisen cualquier instalación del paquete afectado.[6]