CVE-2026-82396
ŚrednieCVSS 5.4Streszczenie
Sulu, system zarządzania treścią PHP, przed wersjami 2.6.25 i 3.0.8 pozwala atakującemu z uprawnieniami do przesyłania mediów na przechowywanie dokumentów HTML, XHTML lub XML i tworzenie linków z parametrem inline=1, co powoduje zwrócenie pliku bez nagłówka Content-Disposition attachment. Otwarcie takiego linku przez uwierzytelnionego użytkownika umożliwia wykonanie złośliwego JavaScriptu w kontekście sesji ofiary na origin Sulu.
Ocena ryzyka
Atakujący może wykraść dane lub wykonać działania w imieniu uwierzytelnionego użytkownika, co może prowadzić do naruszenia poufności i integralności danych w systemie.
Rekomendacja
Zaktualizuj Sulu do wersji 2.6.25 lub 3.0.8, które zawierają poprawkę eliminującą tę podatność.
Inne podatności w Sulu
Zobacz wszystkie- CVE-2026-82395Średnie
Sulu przed wersjami 2.6.25 i 3.0.8 ma podatność w punkcie końcowym przenoszenia mediów, gdzie sprawdzenie uprawnień opiera się na wartości kolekcji dostarczonej przez klienta, a nie na rzeczywistej kolekcji źródłowej. Uwierzytelniony użytkownik backendu z uprawnieniami edycji w jednej kolekcji może przenieść element z kolekcji zastrzeżonej, a następnie przeglądać lub pobierać treści, do których nie ma dostępu.
- CVE-2026-82394Średnie
Sulu przed wersjami 2.6.25 i 3.0.8 nie egzekwuje uprawnień VIEW dla zasobów docelowych w punkcie końcowym linków podglądu. Uwierzytelniony użytkownik administracyjny, znając identyfikator zasobu, może utworzyć lub odwołać link podglądu dla dowolnej strony, artykułu lub fragmentu, w tym treści, których nie może przeglądać. Wygenerowany link podglądu jest publiczny i pozwala na odczyt zastrzeżonych treści bez uwierzytelnienia.
- CVE-2026-45701Średnie
Sulu, system CMS oparty na Symfony, przed wersjami 2.6.23 i 3.0.6 używa słabego algorytmu kryptograficznego do generowania tokenów resetowania hasła i kluczy API.
- CVE-2026-34372Niskie
W Sulu, otwartoźródłowym systemie CMS PHP opartym na Symfony, w wersjach od 1.0.0 do 2.6.22 oraz od 3.0.0 do 3.0.5, użytkownik z uprawnieniami do panelu administracyjnego Sulu (przynajmniej jedna rola) może uzyskać dostęp do podencji kontaktów przez API administracyjne, nawet bez uprawnień do kontaktów.
Oryginalny opis (angielski, źródło NVD)
Sulu is an open-source PHP content management system based on the Symfony framework. Prior to versions 2.6.25 and 3.0.8, src/Sulu/Bundle/MediaBundle/Controller/MediaStreamController.php allows the /media/{id}/download/{slug} route and its administration variant to honor the inline query parameter for scriptable MIME types. The vulnerable stored Content-Type values include text/html, application/xhtml+xml, text/xml, and application/xml. An attacker with media upload permission can store an HTML, XHTML, or XML document and create a link using inline=1, causing the application to return the file on the Sulu origin instead of forcing Content-Disposition attachment. When an authenticated victim opens the link, attacker-controlled JavaScript can execute with the victim's Sulu-origin session and can read data or perform actions as that victim. This issue is fixed in versions 2.6.25 and 3.0.8.