CVE-2026-53760

Nome do Software Vulnerável e Versões Afetadas Admidio versões anteriores a 5.0.11

Description O endpoint 'modules/plugins.php' processa operações de instalação, desinstalação e atualização de plugins via requisições GET sem a validação de tokens CSRF (Cross-Site Request Forgery). CSRF é um tipo de ataque que engana a vítima para enviar uma requisição maliciosa. Como essas operações são navegações de nível superior, os navegadores incluem cookies de sessão SameSite=Lax, permitindo que um invasor crie uma página maliciosa que dispara operações arbitrárias de plugins quando visitada por um administrador autenticado. Especificamente, a função doUninstall() executa scripts SQL contendo instruções DROP TABLE, o que pode levar à perda irreversível de dados. Os parâmetros vulneráveis são mode e name.

Recommendations Atualize para a versão 5.0.11 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'modules/plugins.php' apenas a redes confiáveis.