CVE-2021-48016 (CVSS 9,8): DedeCMS até versão 5.8.1-beta contém vulnerabilidade de injeção de código PHP em ShowMsg() onde o cabeçalho HTTP Referer é escri

O aviso da VulnCheck diz que DedeCMS até versão 5.8.1-beta contém uma vulnerabilidade de injeção de código PHP em ShowMsg() onde o cabeçalho HTTP Referer é escrito em uma string DedeTemplate e incluído.[2]O mesmo aviso afirma que atacantes não autenticados podem enviar um Referer elaborado para /plus/flink.php?dopost=save com um código de validação vazio para executar código PHP e comandos de sistema arbitrários.[2]Uma entrada de alerta de vulnerabilidade do GitHub citando dados do NVD lista a falha como publicada: 2026-10-22[3], com uma pontuação CVSS v3.1 de 9,8. O próprio aviso da VulnCheck apresenta uma pontuação CVSS v4 de 9,3 e crédito: The Shadowserver Foundation[2]. VulnDB diz que o bug afeta apenas produtos que não são mais suportados pelo mantenedor[4], e que nenhuma forma de autenticação é necessária para exploração.[4] VulDB afirma detalhes técnicos da vulnerabilidade são conhecidos, mas não há exploit disponível.[4] TheHackerWire, no entanto, relata que referências públicas de prova de conceito (PoC) e código de exploit estão disponíveis para CVE-2021-48016.[5]TheHackerWire também relata que a falha não é registrada no catálogo CISA Known Exploited Vulnerabilities (KEV)[5]. VulnCheck afirma que este aviso está no banco de dados KEV da VulnCheck[2]. Para defensores, Hol aconselha os usuários a monitorar este aviso para uma correção disponível e revisar qualquer instalação do pacote afetado.[6]