PT-2026-126372

CVE-2026-117537

Publicado

2026-04-10

Atualizado

2026-10-27

Descrição por

CVSS 3.1

4.1

Média

MétricasAV:N/AC:H/PR:H/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas REDAXO versões anteriores a 5.21.0

Description Atacantes autenticados podem realizar um ataque de cross-site scripting refletido injetando scripts através do parâmetro type da API 'metainfo default fields create'. Isso ocorre porque a função rex view::message() renderiza o payload HTML sem a devida sanitização, permitindo a execução de scripts na sessão de backend de uma vítima ao acessar um link manipulado contendo um token CSRF válido.

Recommendations Atualize para a versão 5.21.0 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint da API 'metainfo default fields create'.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Numberoreo1

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados

CVE-2026-117537