Admidio: CSRF y Omisión de la Validación de Formularios en el Guardado de Elementos de Inventario a través del Parámetro `imported`

Un atacante puede explotar esta vulnerabilidad para modificar datos de inventario de manera no autorizada. Esto podría incluir la alteración de descripciones de productos, precios, cantidades en stock o cualquier otro dato almacenado en el módulo de inventario. Dado que la validación CSRF está completamente omitida, un atacante podría inducir a un usuario legítimo a realizar una solicitud POST maliciosa, comprometiendo la integridad de los datos del inventario. La falta de validación de datos también permite la inyección de valores inesperados, lo que podría llevar a comportamientos inesperados en la aplicación o incluso a la corrupción de la base de datos.

Organizations utilizing Admidio for user management, particularly those with custom inventory configurations or sensitive data stored within the inventory module, are at risk. Shared hosting environments where multiple users share the same Admidio instance are also particularly vulnerable, as an attacker could potentially exploit the vulnerability through another user's session.

• php: Examine Admidio logs for POST requests to /admidio/inventory/item_save.php with the imported=true parameter.

grep 'imported=true' /var/log/apache2/access.log | grep '/admidio/inventory/item_save.php'

• generic web: Monitor access logs for requests to /admidio/inventory/item_save.php with the imported=true parameter.

grep 'imported=true' /var/log/nginx/access.log | grep '/admidio/inventory/item_save.php'

1. 2026-03-31Disclosure

   disclosure

1. Reservado2026-03-27
2. Publicada2026-03-31
3. Modificada2026-04-03
4. EPSS actualizado2026-04-08

La mitigación principal es actualizar Admidio a la versión 5.0.8 o superior, donde la vulnerabilidad ha sido corregida. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales. Aunque no es una solución completa, se pueden considerar reglas de Web Application Firewall (WAF) para filtrar solicitudes POST sospechosas al endpoint item_save. Además, se debe revisar la configuración de Admidio para asegurar que las políticas de seguridad sean lo más restrictivas posible. Después de la actualización, confirme que la validación CSRF está activa revisando el código fuente o utilizando herramientas de pruebas de seguridad.