CVE-2021-48016 (CVSS 9.8): DedeCMS до версії 5.8.1-beta містить вразливість у вприскуванні PHP-коду в ShowMsg(), де заголовок HTTP Referer записується

Рекомендації VulnCheck зазначають, що DedeCMS до версії 5.8.1-beta містить вразливість у вприскуванні PHP-коду в ShowMsg(), де заголовок HTTP Referer записується в рядок DedeTemplate і включається.[2]Той же документ рекомендацій зазначає, що неавтентифіковані зловмисники можуть надіслати сформований Referer до /plus/flink.php?dopost=save з порожнім кодом перевірки для виконання довільного PHP та системних команд.[2]Запис про сповіщення про вразливість на GitHub, що посилається на дані NVD, містить цей дефект як опубліковано: 2026-10-22[3], з оцінкою CVSS v3.1 9.8. Власні рекомендації VulnCheck дають оцінку CVSS v4 9.3 та підтвердження: Фундація Shadowserver[2].VulnDB вказує, що помилка впливає тільки на продукти, які більше не підтримуються розробником[4], та що для експлуатації не потрібна жодна форма аутентифікації.[4] VulnDB зазначає технічні деталі вразливості відомі, але доступного експлойту немає.[4] TheHackerWire, однак, повідомляє, що публічні посилання на доказ концепції (PoC) та код експлойту доступні для CVE-2021-48016.[5]TheHackerWire також повідомляє, що дефект не записаний у каталогу CISA Known Exploited Vulnerabilities (KEV)[5]. VulnCheck зазначає, що цей документ рекомендацій знаходиться в базі даних VulnCheck KEV[2].Для захисту Hol радить користувачам моніторити цей документ рекомендацій щодо доступного виправлення та переглянути будь-які встановлення вразливого пакету.[6]