Iniciar sesión
Deutsch English Español Polski
Baja

Admidio Vulnerable to HTML Injection In The Messages Section

  • Publicada: 16.10.2024
  • Actualizado: 11.10.2026 10:22

Summary

An unsafe deserialization vulnerability allows any unauthenticated user to execute arbitrary code on the server.

PoC

  1. Go to https://www.admidio.org/demo_en/adm_program/modules/messages/messages.php
  2. Click on Send Private Message
  3. In the Message field, enter the following payload Testing<br><h1>HTML</h1><br><h2>Injection</h2>

image

  1. Send the message
  2. Open the message again

image

Impact

  1. Data Theft: Stealing sensitive information like cookies, session tokens, and user credentials.
  2. Session Hijacking: Gaining unauthorized access to user accounts.
  3. Phishing: Tricking users into revealing sensitive information.
  4. Website Defacement: Altering the appearance or content of the website.
  5. Malware Distribution: Spreading malware to users' devices.
  6. Denial of Service (DoS): Overloading the server with malicious requests.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer admidio/admidio < 4.3.12 4.3.12

Referencias

Puntuación CVSS 3.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
Debilidad (CWE)
CWE-502, CWE-79
Plataforma
Composer
Paquete
admidio/admidio
Publicada
16.10.2024
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-7c4c-749j-pfp2 - CC BY 4.0

Historial de vulnerabilidades: admidio/admidio

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (50) en el archivo
Entradas en total
50
Primera → última
03.2022 07.2026
Sin corrección
1
Explotada en ataques
0

Distribución por gravedad

  • Crítica 3
  • Alta 10
  • Media 33
  • Baja 4

Divulgaciones por año

Gravedad:
  1. Admidio has IDOR in `documents-files.php` `mode=move_save` that lets any folder-uploader exfiltrate files from private folders
    Alta · 8.1 CVE-2026-47231 < 5.0.10 5.0.10
  2. Admidio Sends SAML Response to Unvalidated Assertion Consumer Service URL from AuthnRequest
    Alta · 8.2 CVE-2026-41670 < 5.0.9 5.0.9
  3. Admidio Ignores SAML Signature Validation Result, Processes Forged AuthnRequests and LogoutRequests
    Alta · 8.2 CVE-2026-41669 < 5.0.9 5.0.9
  4. Admidio has Inverted 2FA Reset Authorization Check that Lets Group Leaders Strip Admin TOTP
    Alta · 7.1 CVE-2026-41660 < 5.0.9 5.0.9
  5. Admidio allows Unauthenticated Access to Role-Restricted documents via neutralized .htaccess
    Alta · 7.5 CVE-2026-34381 >= 5.0.0, < 5.0.8 5.0.8
  6. Admidio has a Second-Order SQL Injection via List Configuration (lsc_special_field, lsc_sort, lsc_filter)
    Alta · 8.0 CVE-2026-32813 < 5.0.7 5.0.7
  7. Admidio is Missing Authorization and CSRF Protection on Document and Folder Deletion
    Crítica · 9.1 CVE-2026-32817 >= 5.0.0, < 5.0.7 5.0.7
  8. File Upload(RCE) Vulnerability in admidio
    Alta · 8.8 CVE-2026-32756 < 5.0.7 5.0.7
  9. Admidio Vulnerable to Authenticated SQL Injection in Member Assignment Functionality
    Alta · 7.2 CVE-2025-62617 < 4.3.17 4.3.17
  10. Admidio Vulnerable to HTML Injection In The Messages Section esta entrada
    Baja · 3.5 CVE-2024-47836 < 4.3.12 4.3.12
  11. Admidio Vulnerable to RCE via Arbitrary File Upload in Message Attachment
    Crítica · 9.0 CVE-2024-38529 < 4.3.10 4.3.10
  12. Admidio has Blind SQL Injection in ecard_send.php
    Crítica · 9.9 CVE-2024-37906 < 4.3.9 4.3.9
  13. Admidio Improper Neutralization of Formula Elements in a CSV File vulnerability
    Alta · 7.3 CVE-2023-3302 < 4.2.9 4.2.9
  14. Insufficient Session Expiration in Admidio
    Alta · 8.2 CVE-2022-0991 < 4.1.9 4.1.9

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.