CVE-2026-21857 : Redaxo a une traversée de chemin dans l'addon Backup menant à une lecture arbitraire de fichiers

Aperçu

Champ	Détails
Identifiant CVE	CVE-2026-21857
Sévérité	HAUTE
Avis	Voir l'avis
Découvert par	Lukasz Rybak

Produits affectés

• redaxo/source (versions : <= 5.20.1)

Classification CWE

• CWE-22 : Limitation inappropriée d'un chemin d'accès à un répertoire restreint ('Traversée de chemin')
• CWE-24 : Traversée de chemin : '../filedir'

Détails

Résumé

Les utilisateurs authentifiés disposant des permissions de sauvegarde peuvent lire des fichiers arbitraires dans la racine web via une traversée de chemin dans la fonctionnalité d'exportation de fichiers de l'addon Backup.

Détails

L'addon Backup ne valide pas le paramètre POST EXPDIR par rapport à la liste blanche de répertoires autorisés générée par l'interface utilisateur.
Un attaquant peut fournir des chemins relatifs contenant des séquences ../ (ou même des chemins absolus à l'intérieur de la racine du document) pour inclure tout fichier lisible dans l'archive .tar.gz générée.

Code vulnérable :

• redaxo/src/addons/backup/pages/export.php (lignes 72-76) – utilise directement $_POST['EXPDIR']
• redaxo/src/addons/backup/lib/backup.php (lignes ~413 et ~427) – concatène l'entrée utilisateur non assainie avec le chemin de base

Cela permet la divulgation de fichiers sensibles tels que :

• redaxo/data/core/config.yml → identifiants de base de données + hachages de mots de passe de tous les utilisateurs du backend
• .env, fichiers de configuration personnalisés, journaux, fichiers malveillants téléchargés, etc.

Versions affectées

≤ 5.20.1 (fonctionnement confirmé)

Versions patchées

Aucune (au 09-12-2025)

PoC – Extraction des identifiants de base de données et des hachages de mots de passe

1. Connectez-vous en tant qu'utilisateur avec permission de sauvegarde
2. Allez dans Backup → Export → Fichiers

3. Interceptez la requête avec Burp Suite

4. Modifiez une valeur EXPDIR[] en ../../../../var/www/html/redaxo/data/core

5. Envoyez la requête → téléchargez l'archive

   

6. Extrayez et ouvrez data/core/config.yml

   

Résultat : mot de passe de base de données en texte clair

Impact

Compromission totale de l'installation REDAXO :

• Prise de contrôle de la base de données
• Extraction des hachages de mots de passe → cassage hors ligne → accès administrateur
• Combiné à d'autres vulnérabilités → RCE

Vecteur et score CVSS 4.0 ci-dessous.

Crédits

Découvert par : Łukasz Rybak

Références

• https://github.com/redaxo/redaxo/security/advisories/GHSA-824x-88xg-cwrv
• https://github.com/redaxo/redaxo/releases/tag/5.20.2
• https://nvd.nist.gov/vuln/detail/CVE-2026-21857
• https://github.com/advisories/GHSA-824x-88xg-cwrv

Avertissement

Ce CVE a été divulgué de manière responsable conformément aux pratiques de divulgation coordonnée des vulnérabilités. Les informations fournies ici sont uniquement à des fins éducatives et défensives.