Anmelden
Deutsch English Español Polski
Niedrig

Admidio Vulnerable to HTML Injection In The Messages Section

  • Veröffentlicht: 16.10.2024
  • Aktualisiert: 11.10.2026 10:22

Summary

An unsafe deserialization vulnerability allows any unauthenticated user to execute arbitrary code on the server.

PoC

  1. Go to https://www.admidio.org/demo_en/adm_program/modules/messages/messages.php
  2. Click on Send Private Message
  3. In the Message field, enter the following payload Testing<br><h1>HTML</h1><br><h2>Injection</h2>

image

  1. Send the message
  2. Open the message again

image

Impact

  1. Data Theft: Stealing sensitive information like cookies, session tokens, and user credentials.
  2. Session Hijacking: Gaining unauthorized access to user accounts.
  3. Phishing: Tricking users into revealing sensitive information.
  4. Website Defacement: Altering the appearance or content of the website.
  5. Malware Distribution: Spreading malware to users' devices.
  6. Denial of Service (DoS): Overloading the server with malicious requests.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket admidio/admidio < 4.3.12 4.3.12

Verweise

CVSS-Wert 3.5/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
Schwäche (CWE)
CWE-502, CWE-79
Plattform
Composer
Paket
admidio/admidio
Veröffentlicht
16.10.2024
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-7c4c-749j-pfp2 - CC BY 4.0

Schwachstellenhistorie: admidio/admidio

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (50) im Archiv
Einträge insgesamt
50
Erste → letzte
03.2022 07.2026
Ohne Fix
1
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 3
  • Hoch 10
  • Mittel 33
  • Niedrig 4

Veröffentlichungen pro Jahr

Schweregrad:
  1. Admidio has IDOR in `documents-files.php` `mode=move_save` that lets any folder-uploader exfiltrate files from private folders
    Hoch · 8.1 CVE-2026-47231 < 5.0.10 5.0.10
  2. Admidio Sends SAML Response to Unvalidated Assertion Consumer Service URL from AuthnRequest
    Hoch · 8.2 CVE-2026-41670 < 5.0.9 5.0.9
  3. Admidio Ignores SAML Signature Validation Result, Processes Forged AuthnRequests and LogoutRequests
    Hoch · 8.2 CVE-2026-41669 < 5.0.9 5.0.9
  4. Admidio has Inverted 2FA Reset Authorization Check that Lets Group Leaders Strip Admin TOTP
    Hoch · 7.1 CVE-2026-41660 < 5.0.9 5.0.9
  5. Admidio allows Unauthenticated Access to Role-Restricted documents via neutralized .htaccess
    Hoch · 7.5 CVE-2026-34381 >= 5.0.0, < 5.0.8 5.0.8
  6. Admidio has a Second-Order SQL Injection via List Configuration (lsc_special_field, lsc_sort, lsc_filter)
    Hoch · 8.0 CVE-2026-32813 < 5.0.7 5.0.7
  7. Admidio is Missing Authorization and CSRF Protection on Document and Folder Deletion
    Kritisch · 9.1 CVE-2026-32817 >= 5.0.0, < 5.0.7 5.0.7
  8. File Upload(RCE) Vulnerability in admidio
    Hoch · 8.8 CVE-2026-32756 < 5.0.7 5.0.7
  9. Admidio Vulnerable to Authenticated SQL Injection in Member Assignment Functionality
    Hoch · 7.2 CVE-2025-62617 < 4.3.17 4.3.17
  10. Admidio Vulnerable to HTML Injection In The Messages Section dieser Eintrag
    Niedrig · 3.5 CVE-2024-47836 < 4.3.12 4.3.12
  11. Admidio Vulnerable to RCE via Arbitrary File Upload in Message Attachment
    Kritisch · 9.0 CVE-2024-38529 < 4.3.10 4.3.10
  12. Admidio has Blind SQL Injection in ecard_send.php
    Kritisch · 9.9 CVE-2024-37906 < 4.3.9 4.3.9
  13. Admidio Improper Neutralization of Formula Elements in a CSV File vulnerability
    Hoch · 7.3 CVE-2023-3302 < 4.2.9 4.2.9
  14. Insufficient Session Expiration in Admidio
    Hoch · 8.2 CVE-2022-0991 < 4.1.9 4.1.9

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.