CVE-2026-45701

Sulu, system zarządzania treścią PHP, przed wersjami 2.6.25 i 3.0.8 pozwala atakującemu z uprawnieniami do przesyłania mediów na przechowywanie dokumentów HTML, XHTML lub XML i tworzenie linków z parametrem inline=1, co powoduje zwrócenie pliku bez nagłówka Content-Disposition attachment. Otwarcie takiego linku przez uwierzytelnionego użytkownika umożliwia wykonanie złośliwego JavaScriptu w kontekście sesji ofiary na origin Sulu.

Sulu przed wersjami 2.6.25 i 3.0.8 ma podatność w punkcie końcowym przenoszenia mediów, gdzie sprawdzenie uprawnień opiera się na wartości kolekcji dostarczonej przez klienta, a nie na rzeczywistej kolekcji źródłowej. Uwierzytelniony użytkownik backendu z uprawnieniami edycji w jednej kolekcji może przenieść element z kolekcji zastrzeżonej, a następnie przeglądać lub pobierać treści, do których nie ma dostępu.

Sulu przed wersjami 2.6.25 i 3.0.8 nie egzekwuje uprawnień VIEW dla zasobów docelowych w punkcie końcowym linków podglądu. Uwierzytelniony użytkownik administracyjny, znając identyfikator zasobu, może utworzyć lub odwołać link podglądu dla dowolnej strony, artykułu lub fragmentu, w tym treści, których nie może przeglądać. Wygenerowany link podglądu jest publiczny i pozwala na odczyt zastrzeżonych treści bez uwierzytelnienia.

W Sulu, otwartoźródłowym systemie CMS PHP opartym na Symfony, w wersjach od 1.0.0 do 2.6.22 oraz od 3.0.0 do 3.0.5, użytkownik z uprawnieniami do panelu administracyjnego Sulu (przynajmniej jedna rola) może uzyskać dostęp do podencji kontaktów przez API administracyjne, nawet bez uprawnień do kontaktów.