REDAXO Core: CSRF-Token-Umgehung in Benutzerverwaltung ermöglicht Rechteausweitung
Zusammenfassung
REDAXO vor 5.21.3 enthält eine Cross-Site Request Forgery-Schwachstelle in der Benutzerverwaltung im Backend (users/users). Die CSRF-Token-Prüfung wird nur durchgeführt, wenn der Parameter save gesetzt ist, der über FUNC_UPDATE ausgelöste Update-Pfad verlangt sie jedoch nicht. Ein Angreifer kann einen eingeloggten Backend-Benutzer mit users[]-Berechtigung über einen präparierten GET-Link dazu bringen, Administratorrechte zu vergeben, Konten zu deaktivieren oder den einzigen Administrator auszusperren.
Betroffen
- REDAXO Core vor 5.21.3 (betroffener Bereich 0 bis < 5.21.3 gemäss CNA; VulDB nennt bis 5.21.2)
Behoben in
- Behoben in REDAXO Core 5.21.3 (veröffentlicht am 31. Juli 2026)
- Neueste Version zum Zeitpunkt der Erstellung: 5.21.5, die weitere Sicherheitslücken behebt
Umgehung
- Unbekannt. In den Quellen ist kein Workaround dokumentiert; das Aktualisieren ist die Behebung.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- In den geprüften Quellen wurde kein öffentlicher Exploit oder Proof of Concept gefunden; das primäre Advisory konnte nicht abgerufen werden, daher ist dies nicht auszuschliessen.
- VulDB bewertet die Ausnutzbarkeit als einfach.
Unsere Empfehlung
- Alle REDAXO-Instanzen und die installierte Version des users-Addons inventarisieren.
- REDAXO Core auf 5.21.5 (mindestens 5.21.3) aktualisieren und Addons gemäss den Release Notes aktualisieren.
- Administratorkonten und users[]-Berechtigungen auf unerwartete Änderungen prüfen und kürzlich deaktivierte Konten kontrollieren.
- Backend-Zugriff nach Möglichkeit per VPN oder IP-Allowlist einschränken.
- Die users[]-Berechtigung auf möglichst wenige Konten beschränken und während der Backend-Anmeldung keine externen Links öffnen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-mrrj-4f5x-j958 github.com
- VulnCheck advisory www.vulncheck.com
- VulDB 427152 vuldb.com
- REDAXO 5.21.3 changelog (mirror) newreleases.io
- REDAXO 5.21.4 release github.com
- REDAXO 5.21.5 release github.com
- Strix CVE-2026-117536 www.strix.ai
- OffSeq radar CVE-2026-117536 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.