CVE-2026-54087
WysokieCVSS 7.6Streszczenie
W EasyAdmin od 5.0.0 do 5.0.13 pola FileField i ImageField mogą przyjmować pliki wykonywalne w przeglądarce, a szablon templates/crud/field/file.html.twig linkuje do przechowywanych plików bez atrybutu download lub nagłówka Content-Disposition attachment. Gdy pliki są przechowywane w publicznym katalogu głównym, atakujący może przesłać HTML przez FileField lub SVG przez ImageField, a JavaScript wykona się w kontekście uwierzytelnionego administratora.
Ocena ryzyka
Może ujawnić tokeny sesji lub CSRF i umożliwić eskalację uprawnień. Luka nie pozwala na wykonanie kodu PHP lub PHTML, ponieważ Symfony guessExtension nie tworzy takich rozszerzeń.
Rekomendacja
Zaktualizuj EasyAdmin do wersji 5.0.13 (lub nowszej). Rozważ przechowywanie przesyłanych plików poza publicznym katalogiem głównym i wymuszanie nagłówka Content-Disposition attachment.
Inne podatności w EasyAdmin
Zobacz wszystkie- CVE-2026-50894Krytyczne
easyadmin v2.0.2.2 jest podatny na nieograniczone przesyłanie plików o niebezpiecznym typie w interfejsie zarządzania w tle, co umożliwia uwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu i uzyskanie uprawnień serwera poprzez spreparowane przesyłanie plików.
- CVE-2026-81892Wysokie
W EasyAdmin (generatorze paneli administracyjnych dla Symfony) w wersjach od 4.0.0 do 4.29.16 oraz 5.5.1, istnieje podatność polegająca na tym, że kontrola dostępu oparta na ścieżce może zostać ominięta. Dzieje się tak, ponieważ zmiana kontrolera następuje po sprawdzeniu przez firewall, a parametr routeName nie jest walidowany. Użytkownik z niskimi uprawnieniami może wykonać kontroler innej trasy, jeśli zna jej nazwę, omijając zabezpieczenia oparte na ścieżce. Trasy, które same sprawdzają autoryzację (np. przez #[IsGranted]), pozostają chronione. Problem został naprawiony w wersjach 4.29.16 i 5.5.1.
Oryginalny opis (angielski, źródło NVD)
EasyAdmin is a fast and modern admin generator for Symfony applications. From 5.0.0 until 5.0.13, FileField and ImageField can accept browser-executable uploads while templates/crud/field/file.html.twig links to stored files for inline same-origin rendering without a download attribute or Content-Disposition attachment header. When uploads are stored under the public web root, an attacker with access to an affected form can upload HTML through FileField or SVG through ImageField, and JavaScript executes in an authenticated administrator's origin when the file is opened from the backend. Exploitation requires a privilege gap between the uploader and viewer. The issue can expose session or CSRF tokens and enable privilege escalation, but does not permit PHP or PHTML code execution because Symfony guessExtension does not produce those stored extensions. This issue is fixed in version 5.0.13.