DNN (DotNetNuke) – Unauthentifizierter Datei-Upload im Standard-HTML-Editor

Beschreibung

DNN (früher DotNetNuke) ist eine quelloffene Web-Content-Management-Plattform im Microsoft-Ökosystem. Vor Version 10.1.1 erlaubt der standardmässige HTML-Editor-Provider unauthentifizierte Datei-Uploads, und Bilder können bestehende Dateien überschreiben. Ein unauthentifizierter Nutzer kann Dateien hochladen und ersetzen, was das Verunstalten einer Website ermöglicht und in Kombination mit einem weiteren Problem das Einschleusen von XSS-Payloads erlaubt. CVSS-Basiswert: 10.0 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 10.1.1 einspielen.

Changelog

1. 2026-07-19 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in DotNetNuke (DNN)

• DotNetNuke (DNN) – Remote Code Execution KEV CVE-2017-9822
• DotNetNuke (DNN) – Inadequate Encryption Strength KEV CVE-2018-15811
• DotNetNuke (DNN) Inadequate Encryption Strength KEV CVE-2018-18325
• Script-Ausführung über Modul-Titel (Richtext) in DNN CVE-2026-24838
• XSS über das Prompt-Modul in DNN CVE-2025-59545
• DNN (DotNetNuke) – Preisgabe von NTLM-Hashes an fremden SMB-Server CVE-2025-52488