Vulnerabilidad en MuraCMS (CVE-2025-55043)

MuraCMS hasta la versión 10.1.10 contiene una vulnerabilidad CSRF en la funcionalidad de creación de paquetes (método createBundle de csettings.cfc) que permite a atacantes no autenticados forzar a los administradores a crear y guardar paquetes de sitio que contienen datos sensibles en directorios de acceso público. Esta vulnerabilidad permite la exfiltración completa de datos, incluyendo cuentas de usuario, hashes de contraseñas, envíos de formularios, listas de correo electrónico, plugins y contenido del sitio, sin el conocimiento del administrador. Esta vulnerabilidad CSRF permite la exfiltración completa de datos de instalaciones de MuraCMS sin requerir autenticación. Los atacantes pueden forzar a los administradores a crear paquetes de sitio sin saberlo, que contienen datos sensibles, los cuales se guardan en directorios web de acceso público. El ataque se ejecuta silenciosamente, dejando a los administradores sin saber que la información confidencial ha sido comprometida y está disponible para descarga no autorizada.