CVE-2021-48016 (CVSS 9.8): DedeCMS через 5.8.1-beta содержит уязвимость инъекции кода PHP в ShowMsg(), где заголовок HTTP Referer записывается

В консультации VulnCheck указывается, что DedeCMS через 5.8.1-beta содержит уязвимость инъекции кода PHP в ShowMsg(), где заголовок HTTP Referer записывается в строку DedeTemplate и включается.[2]В той же консультации говорится, что неаутентифицированные злоумышленники могут отправить поддельный Referer на /plus/flink.php?dopost=save с пустым кодом проверки для выполнения произвольного кода PHP и команд системы.[2]Запись об оповещении об уязвимости на GitHub, ссылающаяся на данные NVD, указывает на уязвимость как на опубликованную: 2026-10-22[3], с оценкой CVSS v3.1 9.8. В собственном консультативе VulnCheck указана оценка CVSS v4 9.3 и кредит: Фонд Shadowserver[2].VulnDB указывает, что ошибка влияет только на продукты, которые больше не поддерживаются разработчиком[4]. и что для эксплуатации не требуется никакая форма аутентификации.[4] VulDB сообщает, что технические детали уязвимости известны, но доступного эксплойта нет.[4] TheHackerWire, однако, сообщает, что общедоступные ссылки и код на доказательство концепции (PoC) доступны для CVE-2021-48016.[5]TheHackerWire также сообщает, что эта уязвимость не зарегистрирована в каталоге CISA «Известные эксплуатируемые уязвимости» (KEV)[5]. VulnCheck указывает, что этот консультатив находится в базе данных VulnCheck KEV[2].Для защитников Хол рекомендует пользователям отслеживать этот консультатив с целью получения исправления и проверить все установки уязвимого пакета.[6]