Plataforma
php
Componente
redaxo/source
Corregido en
5.20.3
5.20.2
El CVE-2026-21857 describe una vulnerabilidad de Path Traversal en el componente redaxo/source, específicamente en el addon de Backup. Esta falla permite a usuarios autenticados con permisos de copia de seguridad leer archivos arbitrarios dentro del directorio raíz web. La vulnerabilidad afecta a versiones de redaxo/source menores o iguales a 5.20.1 y se ha solucionado en la versión 5.20.2.
Un atacante con privilegios de copia de seguridad en redaxo/source puede explotar esta vulnerabilidad para leer archivos confidenciales almacenados en el servidor web. Esto incluye archivos de configuración, código fuente, y potencialmente datos sensibles de los usuarios. La capacidad de leer archivos arbitrarios permite el acceso no autorizado a información crítica y podría ser utilizada para escalar privilegios o comprometer la seguridad del sistema. La falta de validación del parámetro EXPDIR en la funcionalidad de exportación de archivos del addon de Backup facilita la manipulación de la ruta del archivo, permitiendo el acceso a directorios fuera del ámbito previsto.
El CVE-2026-21857 fue publicado el 5 de enero de 2026. No se ha reportado explotación activa en campañas conocidas, pero la disponibilidad de la vulnerabilidad y su relativa simplicidad de explotación la convierten en un objetivo potencial. La vulnerabilidad no figura en el KEV de CISA al momento de la redacción. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad maliciosa relacionada.
Organizations using Redaxo CMS with the Backup addon enabled, particularly those with multiple administrators or users granted backup permissions, are at risk. Shared hosting environments where multiple users share the same Redaxo CMS installation are also particularly vulnerable, as an attacker could potentially compromise another user's account to exploit this vulnerability.
• php / server:
grep -r 'EXPDIR=' /var/www/redaxo/source/addons/backup/index.php• php / server:
journalctl -u php-fpm -f | grep "EXPDIR="• generic web:
Inspect web server access logs for requests containing unusual paths in the EXPDIR parameter, such as ../ or absolute paths.
disclosure
Estado del Exploit
EPSS
0.03% (7% percentil)
CISA SSVC
La mitigación principal para el CVE-2026-21857 es actualizar a la versión 5.20.2 o superior de redaxo/source. Si la actualización inmediata no es posible, se recomienda restringir los permisos de copia de seguridad a los usuarios que realmente los necesiten. Implementar reglas en un Web Application Firewall (WAF) para bloquear solicitudes con rutas de archivo sospechosas puede proporcionar una capa adicional de protección. Monitorear los logs del servidor en busca de intentos de acceso a archivos fuera de los directorios permitidos es crucial para la detección temprana. Después de la actualización, confirme la mitigación verificando que los usuarios autenticados no puedan acceder a archivos fuera del directorio de copias de seguridad.
Actualice Redaxo a la versión 5.20.2 o superior. Esta versión corrige la vulnerabilidad de path traversal en el addon de Backup. La actualización se puede realizar a través del panel de administración de Redaxo o descargando la última versión del sitio web oficial.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2026-21857 is a Path Traversal vulnerability affecting Redaxo CMS versions 5.20.1 and earlier, allowing authenticated users to read arbitrary files.
You are affected if you are running Redaxo CMS version 5.20.1 or earlier and have the Backup addon enabled.
Upgrade Redaxo CMS to version 5.20.2 or later to resolve this vulnerability. Restrict access to the Backup addon if immediate upgrade isn't possible.
While no active exploitation has been confirmed, the vulnerability's nature suggests it is likely to be targeted.
Refer to the official Redaxo security advisory for detailed information and updates: [https://redaxo.com/security/](https://redaxo.com/security/)
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.