CVE-2026-82396
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Sulu, system zarządzania treścią PHP, przed wersjami 2.6.25 i 3.0.8 pozwala atakującemu z uprawnieniami do przesyłania mediów na przechowywanie dokumentów HTML, XHTML lub XML i tworzenie linków z parametrem inline=1, co powoduje zwrócenie pliku bez nagłówka Content-Disposition attachment. Otwarcie takiego linku przez uwierzytelnionego użytkownika umożliwia wykonanie złośliwego JavaScriptu w kontekście sesji ofiary na origin Sulu.
Ocena ryzyka
Atakujący może wykraść dane lub wykonać działania w imieniu uwierzytelnionego użytkownika, co może prowadzić do naruszenia poufności i integralności danych w systemie.
Rekomendacja
Zaktualizuj Sulu do wersji 2.6.25 lub 3.0.8, które zawierają poprawkę eliminującą tę podatność.
Inne podatności w Sulu
Zobacz wszystkie- CVE-2026-92692Średnie
Sulu to open-source'owy system zarządzania treścią w PHP oparty na frameworku Symfony. W wersjach przed 2.6.25 i 3.0.8 linie wydawnicze Sulu 2.6 i 3.0 mają Smart Content QueryBuilder w pliku src/Sulu/Component/Content/SmartContent/QueryBuilder.php, który konkatenuje identyfikatory kategorii z publicznego parametru zapytania categories do klauzuli WHERE JCR-SQL2 bez walidacji numerycznej. Na publicznej stronie zawierającej blok Smart Content filtrowany po kategorii nieuwierzytelniony atakujący może zmienić warunki zapytania, aby wywnioskować lub wyliczyć węzły repozytorium treści, w tym nieopublikowane treści, lub przesłać zniekształcone i kosztowne fragmenty zapytań, które obniżają dostępność; ta ścieżka nie modyfikuje danych repozytorium. Problem został naprawiony w wersjach 2.6.25 i 3.0.8.
- CVE-2026-82395Średnie
Sulu przed wersjami 2.6.25 i 3.0.8 ma podatność w punkcie końcowym przenoszenia mediów, gdzie sprawdzenie uprawnień opiera się na wartości kolekcji dostarczonej przez klienta, a nie na rzeczywistej kolekcji źródłowej. Uwierzytelniony użytkownik backendu z uprawnieniami edycji w jednej kolekcji może przenieść element z kolekcji zastrzeżonej, a następnie przeglądać lub pobierać treści, do których nie ma dostępu.
- CVE-2026-82394Średnie
Sulu przed wersjami 2.6.25 i 3.0.8 nie egzekwuje uprawnień VIEW dla zasobów docelowych w punkcie końcowym linków podglądu. Uwierzytelniony użytkownik administracyjny, znając identyfikator zasobu, może utworzyć lub odwołać link podglądu dla dowolnej strony, artykułu lub fragmentu, w tym treści, których nie może przeglądać. Wygenerowany link podglądu jest publiczny i pozwala na odczyt zastrzeżonych treści bez uwierzytelnienia.
- CVE-2026-45701Średnie
Sulu, system CMS oparty na Symfony, przed wersjami 2.6.23 i 3.0.6 używa słabego algorytmu kryptograficznego do generowania tokenów resetowania hasła i kluczy API.
- CVE-2026-34372Niskie
W Sulu, otwartoźródłowym systemie CMS PHP opartym na Symfony, w wersjach od 1.0.0 do 2.6.22 oraz od 3.0.0 do 3.0.5, użytkownik z uprawnieniami do panelu administracyjnego Sulu (przynajmniej jedna rola) może uzyskać dostęp do podencji kontaktów przez API administracyjne, nawet bez uprawnień do kontaktów.
Oryginalny opis (angielski, źródło NVD)
Sulu is an open-source PHP content management system based on the Symfony framework. Prior to versions 2.6.25 and 3.0.8, src/Sulu/Bundle/MediaBundle/Controller/MediaStreamController.php allows the /media/{id}/download/{slug} route and its administration variant to honor the inline query parameter for scriptable MIME types. The vulnerable stored Content-Type values include text/html, application/xhtml+xml, text/xml, and application/xml. An attacker with media upload permission can store an HTML, XHTML, or XML document and create a link using inline=1, causing the application to return the file on the Sulu origin instead of forcing Content-Disposition attachment. When an authenticated victim opens the link, attacker-controlled JavaScript can execute with the victim's Sulu-origin session and can read data or perform actions as that victim. This issue is fixed in versions 2.6.25 and 3.0.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS