📄 Description (English)
Redaxo CMS Addon MyEvents 2.2.1 contains an SQL injection vulnerability that allows authenticated attackers to manipulate database queries by injecting SQL code through the myevents_id parameter. Attackers can send GET requests to the event_add.php page with malicious myevents_id values to extract or modify sensitive database information.
🤖 AI Executive Summary
CVE-2018-25319 is a SQL injection vulnerability in Redaxo CMS MyEvents addon 2.2.1 affecting authenticated users. Attackers can manipulate database queries through the myevents_id parameter in event_add.php to extract or modify sensitive data. With a CVSS score of 7.1 and no available patch, organizations using this addon face significant data breach and integrity risks.
📄 Description (Arabic)
🤖 AI Intelligence Analysis Analyzed: May 21, 2026 09:48
🇸🇦 Saudi Arabia Impact Assessment
This vulnerability primarily impacts Saudi organizations using Redaxo CMS for content management, particularly in government agencies, educational institutions, and small-to-medium enterprises managing event-based services. Government entities under NCA oversight and organizations handling citizen data face elevated risk. Healthcare facilities and tourism sectors using MyEvents for appointment/event scheduling are also vulnerable. The authenticated-only nature limits exposure but poses significant risk to insider threats and compromised accounts within these organizations.
🏢 Affected Saudi Sectors
Government
Education
Healthcare
Tourism and Hospitality
Small-to-Medium Enterprises
Event Management Services
🎯 MITRE ATT&CK Techniques
⚖️ Saudi Risk Score (AI)
6.8
/ 10.0
🔧 Remediation Steps (English)
Immediate Actions:
1. Audit all Redaxo CMS installations for MyEvents addon version 2.2.1 presence
2. Restrict access to event_add.php to trusted administrators only via firewall/WAF rules
3. Review database access logs for suspicious SQL patterns or unauthorized data extraction
4. Disable MyEvents addon if not actively used
Compensating Controls:
1. Implement Web Application Firewall (WAF) rules to block SQL injection patterns in myevents_id parameter
2. Apply input validation: whitelist only numeric values for myevents_id parameter
3. Use parameterized queries/prepared statements in any custom code interfacing with MyEvents
4. Enable database query logging and monitoring for anomalous SQL commands
5. Implement principle of least privilege for database user accounts
6. Apply database-level encryption for sensitive event data
Detection Rules:
1. Monitor for GET requests to event_add.php containing SQL keywords (UNION, SELECT, DROP, INSERT, UPDATE)
2. Alert on myevents_id parameters containing special characters: ', ", --, ;, /*
3. Track failed database queries and authentication attempts
4. Monitor for unusual data export volumes from events tables
🔧 خطوات المعالجة (العربية)
الإجراءات الفورية:
1. تدقيق جميع تثبيتات Redaxo CMS للتحقق من وجود إضافة MyEvents الإصدار 2.2.1
2. تقييد الوصول إلى event_add.php للمسؤولين الموثوقين فقط عبر قواعد جدار الحماية/WAF
3. مراجعة سجلات الوصول إلى قاعدة البيانات للبحث عن أنماط SQL مريبة أو استخراج بيانات غير مصرح به
4. تعطيل إضافة MyEvents إذا لم تكن قيد الاستخدام النشط
الضوابط التعويضية:
1. تطبيق قواعد جدار تطبيقات الويب (WAF) لحجب أنماط حقن SQL في معامل myevents_id
2. تطبيق التحقق من الإدخال: قائمة بيضاء للقيم الرقمية فقط لمعامل myevents_id
3. استخدام الاستعلامات المعاملة/البيانات المحضرة في أي كود مخصص يتفاعل مع MyEvents
4. تفعيل تسجيل استعلامات قاعدة البيانات والمراقبة للأوامر SQL الشاذة
5. تطبيق مبدأ أقل امتياز لحسابات مستخدمي قاعدة البيانات
6. تطبيق التشفير على مستوى قاعدة البيانات للبيانات الحساسة للأحداث
قواعد الكشف:
1. مراقبة طلبات GET إلى event_add.php التي تحتوي على كلمات مفتاحية SQL (UNION, SELECT, DROP, INSERT, UPDATE)
2. تنبيه على معاملات myevents_id التي تحتوي على أحرف خاصة: ', ", --, ;, /*
3. تتبع استعلامات قاعدة البيانات الفاشلة ومحاولات المصادقة
4. مراقبة أحجام تصدير البيانات غير العادية من جداول الأحداث
📋 Regulatory Compliance Mapping
🟢 NCA ECC 2024
A.14.2.1 - Secure development policy (vulnerable code in addon)
A.14.2.5 - Secure development environment (input validation failures)
A.12.6.1 - Management of technical vulnerabilities (unpatched addon)
A.12.2.1 - Monitoring and logging of access to information
🔵 SAMA CSF
ID.GV-1 - Organizational cybersecurity policy and governance
PR.DS-1 - Data security and protection measures
PR.AC-1 - Access control and authentication
DE.CM-1 - Detection and monitoring of anomalous activity
🟡 ISO 27001:2022
A.6.2.1 - Information security policies and procedures
A.14.2.1 - Secure development and change management
A.14.2.5 - Secure development environment
A.12.4.1 - Event logging and monitoring
🟣 PCI DSS v4.0.1
Requirement 6.5.1 - Injection flaws prevention
Requirement 6.2 - Security patches and updates
Requirement 10.2 - Logging and monitoring of access