CVE-2026-82395
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Sulu przed wersjami 2.6.25 i 3.0.8 ma podatność w punkcie końcowym przenoszenia mediów, gdzie sprawdzenie uprawnień opiera się na wartości kolekcji dostarczonej przez klienta, a nie na rzeczywistej kolekcji źródłowej. Uwierzytelniony użytkownik backendu z uprawnieniami edycji w jednej kolekcji może przenieść element z kolekcji zastrzeżonej, a następnie przeglądać lub pobierać treści, do których nie ma dostępu.
Ocena ryzyka
Uwierzytelniony użytkownik może uzyskać nieautoryzowany dostęp do treści w zastrzeżonych kolekcjach, co narusza kontrolę dostępu i może prowadzić do wycieku danych.
Rekomendacja
Zaktualizuj Sulu do wersji 2.6.25 lub 3.0.8, które naprawiają ten problem z kontrolą dostępu.
Inne podatności w Sulu
Zobacz wszystkie- CVE-2026-92692Średnie
Sulu to open-source'owy system zarządzania treścią w PHP oparty na frameworku Symfony. W wersjach przed 2.6.25 i 3.0.8 linie wydawnicze Sulu 2.6 i 3.0 mają Smart Content QueryBuilder w pliku src/Sulu/Component/Content/SmartContent/QueryBuilder.php, który konkatenuje identyfikatory kategorii z publicznego parametru zapytania categories do klauzuli WHERE JCR-SQL2 bez walidacji numerycznej. Na publicznej stronie zawierającej blok Smart Content filtrowany po kategorii nieuwierzytelniony atakujący może zmienić warunki zapytania, aby wywnioskować lub wyliczyć węzły repozytorium treści, w tym nieopublikowane treści, lub przesłać zniekształcone i kosztowne fragmenty zapytań, które obniżają dostępność; ta ścieżka nie modyfikuje danych repozytorium. Problem został naprawiony w wersjach 2.6.25 i 3.0.8.
- CVE-2026-82396Średnie
Sulu, system zarządzania treścią PHP, przed wersjami 2.6.25 i 3.0.8 pozwala atakującemu z uprawnieniami do przesyłania mediów na przechowywanie dokumentów HTML, XHTML lub XML i tworzenie linków z parametrem inline=1, co powoduje zwrócenie pliku bez nagłówka Content-Disposition attachment. Otwarcie takiego linku przez uwierzytelnionego użytkownika umożliwia wykonanie złośliwego JavaScriptu w kontekście sesji ofiary na origin Sulu.
- CVE-2026-82394Średnie
Sulu przed wersjami 2.6.25 i 3.0.8 nie egzekwuje uprawnień VIEW dla zasobów docelowych w punkcie końcowym linków podglądu. Uwierzytelniony użytkownik administracyjny, znając identyfikator zasobu, może utworzyć lub odwołać link podglądu dla dowolnej strony, artykułu lub fragmentu, w tym treści, których nie może przeglądać. Wygenerowany link podglądu jest publiczny i pozwala na odczyt zastrzeżonych treści bez uwierzytelnienia.
- CVE-2026-45701Średnie
Sulu, system CMS oparty na Symfony, przed wersjami 2.6.23 i 3.0.6 używa słabego algorytmu kryptograficznego do generowania tokenów resetowania hasła i kluczy API.
- CVE-2026-34372Niskie
W Sulu, otwartoźródłowym systemie CMS PHP opartym na Symfony, w wersjach od 1.0.0 do 2.6.22 oraz od 3.0.0 do 3.0.5, użytkownik z uprawnieniami do panelu administracyjnego Sulu (przynajmniej jedna rola) może uzyskać dostęp do podencji kontaktów przez API administracyjne, nawet bez uprawnień do kontaktów.
Oryginalny opis (angielski, źródło NVD)
Sulu is an open-source PHP content management system based on the Symfony framework. Prior to versions 2.6.25 and 3.0.8, the media move endpoint derives its permission check from the client-supplied collection value instead of the media item's actual source collection, and src/Sulu/Bundle/MediaBundle/Media/Manager/MediaManager.php allows MediaManager::move() to reassign the item without checking that source. An authenticated backend user with edit permission on one collection and knowledge of a target media identifier can name the allowed collection in the request, move an item out of a restricted collection, and then view or download content the user was not permitted to access. This issue is fixed in versions 2.6.25 and 3.0.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS