CVE-2026-21857: Redaxo tiene un Path Traversal en el addon de Backup que conduce a la lectura arbitraria de archivos

Información general

Productos afectados

• redaxo/source (versiones: <= 5.20.1)

Clasificación CWE

• CWE-22: Limitación incorrecta de un nombre de ruta a un directorio restringido ('Path Traversal')
• CWE-24: Path Traversal: '../filedir'

Detalles

Resumen

Los usuarios autenticados con permisos de backup pueden leer archivos arbitrarios dentro de la raíz web mediante un path traversal en la funcionalidad de exportación de archivos del addon de Backup.

Detalles

El addon de Backup no valida el parámetro POST EXPDIR contra la lista blanca de directorios permitidos generada por la interfaz de usuario.
Un atacante puede suministrar rutas relativas que contengan secuencias ../ (o incluso rutas absolutas dentro de la raíz del documento) para incluir cualquier archivo legible en el archivo .tar.gz generado.

Código vulnerable:

• redaxo/src/addons/backup/pages/export.php (líneas 72-76) – usa directamente $_POST['EXPDIR']
• redaxo/src/addons/backup/lib/backup.php (líneas ~413 y ~427) – concatena la entrada del usuario sin saneamiento con la ruta base

Esto permite la divulgación de archivos sensibles como:

• redaxo/data/core/config.yml → credenciales de la base de datos + hashes de contraseñas de todos los usuarios del backend
• .env, archivos de configuración personalizados, registros (logs), archivos maliciosos subidos, etc.

Versiones afectadas

≤ 5.20.1 (funcionamiento confirmado)

Versiones parcheadas

Ninguna (a fecha de 2025-12-09)

PoC – Extracción de credenciales de la base de datos y hashes de contraseñas

1. Inicie sesión como cualquier usuario con permiso de Backup
2. Vaya a Backup → Exportar → Archivos

3. Intercepte la solicitud con Burp Suite

4. Cambie un valor de EXPDIR[] por ../../../../var/www/html/redaxo/data/core

5. Envíe la solicitud → descargue el archivo

   

6. Extraiga y abra data/core/config.yml

   

Resultado: contraseña de la base de datos en texto plano

Impacto

Compromiso total de la instalación de REDAXO:

• Toma de control de la base de datos
• Extracción de hashes de contraseñas → descifrado fuera de línea (cracking offline) → acceso de administrador
• Cuando se combina con otras vulnerabilidades → RCE

El vector y la puntuación CVSS 4.0 se muestran a continuación.

Créditos

Descubierto por: Łukasz Rybak

Referencias

• https://github.com/redaxo/redaxo/security/advisories/GHSA-824x-88xg-cwrv
• https://github.com/redaxo/redaxo/releases/tag/5.20.2
• https://nvd.nist.gov/vuln/detail/CVE-2026-21857
• https://github.com/advisories/GHSA-824x-88xg-cwrv

Descargo de responsabilidad

Este CVE fue divulgado de manera responsable siguiendo las prácticas de divulgación coordinada de vulnerabilidades. La información aquí proporcionada es solo para fines educativos y de defensa.