CVE-2026-34372
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W Sulu, otwartoźródłowym systemie CMS PHP opartym na Symfony, w wersjach od 1.0.0 do 2.6.22 oraz od 3.0.0 do 3.0.5, użytkownik z uprawnieniami do panelu administracyjnego Sulu (przynajmniej jedna rola) może uzyskać dostęp do podencji kontaktów przez API administracyjne, nawet bez uprawnień do kontaktów.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do danych kontaktów przez użytkowników z minimalnymi uprawnieniami, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Należy zaktualizować Sulu do wersji 2.6.22 lub 3.0.5 (w zależności od używanej gałęzi), które zawierają poprawkę usuwającą tę lukę.
Inne podatności w Sulu
Zobacz wszystkie- CVE-2026-92692Średnie
Sulu to open-source'owy system zarządzania treścią w PHP oparty na frameworku Symfony. W wersjach przed 2.6.25 i 3.0.8 linie wydawnicze Sulu 2.6 i 3.0 mają Smart Content QueryBuilder w pliku src/Sulu/Component/Content/SmartContent/QueryBuilder.php, który konkatenuje identyfikatory kategorii z publicznego parametru zapytania categories do klauzuli WHERE JCR-SQL2 bez walidacji numerycznej. Na publicznej stronie zawierającej blok Smart Content filtrowany po kategorii nieuwierzytelniony atakujący może zmienić warunki zapytania, aby wywnioskować lub wyliczyć węzły repozytorium treści, w tym nieopublikowane treści, lub przesłać zniekształcone i kosztowne fragmenty zapytań, które obniżają dostępność; ta ścieżka nie modyfikuje danych repozytorium. Problem został naprawiony w wersjach 2.6.25 i 3.0.8.
- CVE-2026-82396Średnie
Sulu, system zarządzania treścią PHP, przed wersjami 2.6.25 i 3.0.8 pozwala atakującemu z uprawnieniami do przesyłania mediów na przechowywanie dokumentów HTML, XHTML lub XML i tworzenie linków z parametrem inline=1, co powoduje zwrócenie pliku bez nagłówka Content-Disposition attachment. Otwarcie takiego linku przez uwierzytelnionego użytkownika umożliwia wykonanie złośliwego JavaScriptu w kontekście sesji ofiary na origin Sulu.
- CVE-2026-82395Średnie
Sulu przed wersjami 2.6.25 i 3.0.8 ma podatność w punkcie końcowym przenoszenia mediów, gdzie sprawdzenie uprawnień opiera się na wartości kolekcji dostarczonej przez klienta, a nie na rzeczywistej kolekcji źródłowej. Uwierzytelniony użytkownik backendu z uprawnieniami edycji w jednej kolekcji może przenieść element z kolekcji zastrzeżonej, a następnie przeglądać lub pobierać treści, do których nie ma dostępu.
- CVE-2026-82394Średnie
Sulu przed wersjami 2.6.25 i 3.0.8 nie egzekwuje uprawnień VIEW dla zasobów docelowych w punkcie końcowym linków podglądu. Uwierzytelniony użytkownik administracyjny, znając identyfikator zasobu, może utworzyć lub odwołać link podglądu dla dowolnej strony, artykułu lub fragmentu, w tym treści, których nie może przeglądać. Wygenerowany link podglądu jest publiczny i pozwala na odczyt zastrzeżonych treści bez uwierzytelnienia.
- CVE-2026-45701Średnie
Sulu, system CMS oparty na Symfony, przed wersjami 2.6.23 i 3.0.6 używa słabego algorytmu kryptograficznego do generowania tokenów resetowania hasła i kluczy API.
Oryginalny opis (angielski, źródło NVD)
Sulu is an open-source PHP content management system based on the Symfony framework. From versions 1.0.0 to before 2.6.22, and 3.0.0 to before 3.0.5, a user which has permission for the Sulu Admin via at least one role could have access to the sub-entities of contacts via the admin API without even have permission for contacts. This issue has been patched in versions 2.6.22 and 3.0.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS