CVE-2021-48016 (CVSS 9,8) : DedeCMS jusqu'à 5.8.1-beta contient une vulnérabilité d'injection de code PHP dans ShowMsg() où l'en-tête HTTP Referer est écri

L'avis de VulnCheck indique que DedeCMS jusqu'à 5.8.1-beta contient une vulnérabilité d'injection de code PHP dans ShowMsg() où l'en-tête HTTP Referer est écrit dans une chaîne DedeTemplate et inclus.[2]Le même avis indique que les attaquants non authentifiés peuvent envoyer un en-tête Referer modifié vers /plus/flink.php?dopost=save avec un code de validation vide pour exécuter des commandes PHP et système arbitraires.[2]Une entrée d'alerte de vulnérabilité GitHub citant les données NVD énumère la faille comme publiée : 2026-10-22[3], avec un score CVSS v3.1 de 9,8. L'avis propre à VulnCheck donne un score CVSS v4 de 9,3 et crédit : La Fondation Shadowserver[2].VulnDB indique que le bogue affecte uniquement les produits qui ne sont plus soutenus par le responsable[4], et que aucune forme d'authentification n'est nécessaire pour exploiter la vulnérabilité.[4] VulDB déclare les détails techniques de la vulnérabilité sont connus, mais il n'y a pas d'exploit disponible.[4] TheHackerWire rapporte cependant que des références et du code d'exploitation public de preuve de concept (PoC) sont disponibles pour CVE-2021-48016.[5]TheHackerWire rapporte également que la faille n'est pas enregistrée dans le catalogue CISA des vulnérabilités exploitées connues (KEV)[5]. VulnCheck indique que cet avis figure dans la base de données VulnCheck KEV[2].Pour les défenseurs, Hol conseille aux utilisateurs de surveiller cet avis pour connaître les correctifs disponibles et d'examiner toute installation du package affecté.[6]