CVE-2026-32757

Admidio es una solución de gestión de usuarios de código abierto. En las versiones 5.0.6 e inferiores, el gestor de envío de eCard utiliza un valor $_POST['ecard_message'] sin procesar en lugar del $formValues['ecard_message'] saneado por HTMLPurifier al construir el HTML de la tarjeta de felicitación. Esto permite a un atacante autenticado inyectar HTML y JavaScript arbitrarios en correos electrónicos de tarjetas de felicitación enviados a otros miembros, eludiendo el saneamiento de HTMLPurifier del lado del servidor que se aplica correctamente al campo ecard_message durante la validación del formulario. Un ataque puede resultar en que cualquier miembro o rol reciba contenido de phishing que parezca legítimo, pasando de la aplicación web a los clientes de correo electrónico de los destinatarios. Este problema ha sido solucionado en la versión 5.0.7.