Podatności EasyAdmin

W EasyAdmin od 5.0.0 do 5.0.13 pola FileField i ImageField mogą przyjmować pliki wykonywalne w przeglądarce, a szablon templates/crud/field/file.html.twig linkuje do przechowywanych plików bez atrybutu download lub nagłówka Content-Disposition attachment. Gdy pliki są przechowywane w publicznym katalogu głównym, atakujący może przesłać HTML przez FileField lub SVG przez ImageField, a JavaScript wykona się w kontekście uwierzytelnionego administratora.

easyadmin v2.0.2.2 jest podatny na nieograniczone przesyłanie plików o niebezpiecznym typie w interfejsie zarządzania w tle, co umożliwia uwierzytelnionym zdalnym atakującym wykonanie dowolnego kodu i uzyskanie uprawnień serwera poprzez spreparowane przesyłanie plików.

W EasyAdmin (generatorze paneli administracyjnych dla Symfony) w wersjach od 4.0.0 do 4.29.16 oraz 5.5.1, istnieje podatność polegająca na tym, że kontrola dostępu oparta na ścieżce może zostać ominięta. Dzieje się tak, ponieważ zmiana kontrolera następuje po sprawdzeniu przez firewall, a parametr routeName nie jest walidowany. Użytkownik z niskimi uprawnieniami może wykonać kontroler innej trasy, jeśli zna jej nazwę, omijając zabezpieczenia oparte na ścieżce. Trasy, które same sprawdzają autoryzację (np. przez #[IsGranted]), pozostają chronione. Problem został naprawiony w wersjach 4.29.16 i 5.5.1.