REDAXO Core: Authentifizierungsumgehung durch fälschbares temporäres Login-Token
Zusammenfassung
REDAXO Core in den Versionen 5.3.0 bis 5.21.3 enthält eine Authentifizierungsumgehung im Plugin structure/history. Ein nicht authentifizierter Angreifer kann ein temporäres Login-Token fälschen und so eine Backend-Sitzung erlangen, auch für Administratorkonten. Nur Installationen mit aktiviertem History-Plugin sind betroffen, und auf Installationen ausserhalb des Live-Modus kann der Zugriff zur Codeausführung eskaliert werden.
Betroffen
- REDAXO Core >= 5.3.0 und < 5.21.4
- Nur mit installiertem und aktiviertem Plugin structure/history (nicht standardmässig aktiviert)
Behoben in
- Aktualisierung auf REDAXO Core 5.21.4 oder neuer (5.21.5 enthält zusätzliche Sicherheitskorrekturen)
Umgehung
- Plugin structure/history deaktivieren
- Alternativ die in der Herstellerwarnung beschriebene Einzeilenänderung in redaxo/src/addons/structure/plugins/history/boot.php (Zeile 16) anwenden, die das temporäre Login für Frontend-Verlaufsansichten deaktiviert; Snapshots werden weiterhin erfasst
Ausnutzung
- Nicht bekannt, dass sie ausgenutzt wird (OffSeq, Strix, keine Honeypot-Angriffe registriert)
- Ein öffentliches Repository mit der Bezeichnung PoC existiert; dessen Autor gibt an, dass die vollständige Angriffskette noch nicht funktioniert. Nicht verifiziert.
- Die Quellen widersprechen sich beim CVSS-Basiswert (9.3 laut CVE-Eintrag, 9.8 CVSS 3.1 laut Strix, 7.3 laut VulDB)
Unsere Empfehlung
- REDAXO umgehend auf 5.21.5 (mindestens 5.21.4) aktualisieren
- Falls das History-Plugin nicht benötigt wird, es deaktivieren
- Prüfen, ob das History-Plugin auf Ihren Websites aktiv ist
- Backend-Logins und Administratorkonten auf unerwartete Aktivitäten prüfen, da die Korrektur aus dem August 2026 stammt und ältere Websites bereits kompromittiert sein könnten
- Backend-Zugriff einschränken und den Live-Modus aktivieren, wo kein Bearbeiten nötig ist
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
asvorg/CVE-2026-117532-poc
Quellen der Recherche
- GitHub Security Advisory GHSA-px8f-whj8-hrpq github.com
- GitHub release REDAXO 5.21.4 github.com
- GitHub release REDAXO 5.21.5 github.com
- VulnCheck advisory www.vulncheck.com
- Strix CVE summary www.strix.ai
- OffSeq radar threat entry radar.offseq.com
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.