CVE-2026-34372
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Sulu, otwartoźródłowym systemie CMS PHP opartym na Symfony, w wersjach od 1.0.0 do 2.6.22 oraz od 3.0.0 do 3.0.5, użytkownik z uprawnieniami do panelu administracyjnego Sulu (przynajmniej jedna rola) może uzyskać dostęp do podencji kontaktów przez API administracyjne, nawet bez uprawnień do kontaktów.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do danych kontaktów przez użytkowników z minimalnymi uprawnieniami, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Należy zaktualizować Sulu do wersji 2.6.22 lub 3.0.5 (w zależności od używanej gałęzi), które zawierają poprawkę usuwającą tę lukę.
Oryginalny opis (angielski, źródło NVD)
Sulu is an open-source PHP content management system based on the Symfony framework. From versions 1.0.0 to before 2.6.22, and 3.0.0 to before 3.0.5, a user which has permission for the Sulu Admin via at least one role could have access to the sub-entities of contacts via the admin API without even have permission for contacts. This issue has been patched in versions 2.6.22 and 3.0.5.