MuraCMS: CSRF ermöglicht unwiderrufliches Löschen des Papierkorbs

Beschreibung

MuraCMS bis einschliesslich Version 10.1.10 enthält eine CSRF-Schwachstelle, über die Angreifer sämtliche im Papierkorb liegenden gelöschten Inhalte dauerhaft vernichten können. Der verwundbaren Funktion cTrash.empty fehlt die CSRF-Token-Prüfung, sodass eine bösartige Webseite eine Anfrage fälschen kann, die beim Besuch durch einen authentifizierten Administrator ohne Bestätigung oder Zustimmung den gesamten Papierkorb leert. Eine erfolgreiche Ausnutzung kann zu einem potenziell katastrophalen Datenverlust führen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: betroffene Software gemäss Hersteller-Advisory aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Craft CMS

• Craft CMS – Code Injection KEV CVE-2025-32432
• Kentico Xperience CMS – Authentication Bypass (zweite Schwachstelle) KEV CVE-2025-2747
• Craft CMS Code Injection Vulnerability KEV CVE-2024-56145
• Craft CMS – External Control of Assumed-Immutable Web Parameter KEV CVE-2025-35939
• Sitecore CMS und Experience Platform – Deserialization Vulnerability KEV CVE-2019-9874
• Craft CMS – Code Injection Vulnerability KEV CVE-2025-23209