CVE-2026-50894

W EasyAdmin od 5.0.0 do 5.0.13 pola FileField i ImageField mogą przyjmować pliki wykonywalne w przeglądarce, a szablon templates/crud/field/file.html.twig linkuje do przechowywanych plików bez atrybutu download lub nagłówka Content-Disposition attachment. Gdy pliki są przechowywane w publicznym katalogu głównym, atakujący może przesłać HTML przez FileField lub SVG przez ImageField, a JavaScript wykona się w kontekście uwierzytelnionego administratora.

W EasyAdmin (generatorze paneli administracyjnych dla Symfony) w wersjach od 4.0.0 do 4.29.16 oraz 5.5.1, istnieje podatność polegająca na tym, że kontrola dostępu oparta na ścieżce może zostać ominięta. Dzieje się tak, ponieważ zmiana kontrolera następuje po sprawdzeniu przez firewall, a parametr routeName nie jest walidowany. Użytkownik z niskimi uprawnieniami może wykonać kontroler innej trasy, jeśli zna jej nazwę, omijając zabezpieczenia oparte na ścieżce. Trasy, które same sprawdzają autoryzację (np. przez #[IsGranted]), pozostają chronione. Problem został naprawiony w wersjach 4.29.16 i 5.5.1.