Podatności Sulu

Sulu to open-source'owy system zarządzania treścią w PHP oparty na frameworku Symfony. W wersjach przed 2.6.25 i 3.0.8 linie wydawnicze Sulu 2.6 i 3.0 mają Smart Content QueryBuilder w pliku src/Sulu/Component/Content/SmartContent/QueryBuilder.php, który konkatenuje identyfikatory kategorii z publicznego parametru zapytania categories do klauzuli WHERE JCR-SQL2 bez walidacji numerycznej. Na publicznej stronie zawierającej blok Smart Content filtrowany po kategorii nieuwierzytelniony atakujący może zmienić warunki zapytania, aby wywnioskować lub wyliczyć węzły repozytorium treści, w tym nieopublikowane treści, lub przesłać zniekształcone i kosztowne fragmenty zapytań, które obniżają dostępność; ta ścieżka nie modyfikuje danych repozytorium. Problem został naprawiony w wersjach 2.6.25 i 3.0.8.

Sulu, system zarządzania treścią PHP, przed wersjami 2.6.25 i 3.0.8 pozwala atakującemu z uprawnieniami do przesyłania mediów na przechowywanie dokumentów HTML, XHTML lub XML i tworzenie linków z parametrem inline=1, co powoduje zwrócenie pliku bez nagłówka Content-Disposition attachment. Otwarcie takiego linku przez uwierzytelnionego użytkownika umożliwia wykonanie złośliwego JavaScriptu w kontekście sesji ofiary na origin Sulu.

Sulu przed wersjami 2.6.25 i 3.0.8 ma podatność w punkcie końcowym przenoszenia mediów, gdzie sprawdzenie uprawnień opiera się na wartości kolekcji dostarczonej przez klienta, a nie na rzeczywistej kolekcji źródłowej. Uwierzytelniony użytkownik backendu z uprawnieniami edycji w jednej kolekcji może przenieść element z kolekcji zastrzeżonej, a następnie przeglądać lub pobierać treści, do których nie ma dostępu.

Sulu przed wersjami 2.6.25 i 3.0.8 nie egzekwuje uprawnień VIEW dla zasobów docelowych w punkcie końcowym linków podglądu. Uwierzytelniony użytkownik administracyjny, znając identyfikator zasobu, może utworzyć lub odwołać link podglądu dla dowolnej strony, artykułu lub fragmentu, w tym treści, których nie może przeglądać. Wygenerowany link podglądu jest publiczny i pozwala na odczyt zastrzeżonych treści bez uwierzytelnienia.

Sulu, system CMS oparty na Symfony, przed wersjami 2.6.23 i 3.0.6 używa słabego algorytmu kryptograficznego do generowania tokenów resetowania hasła i kluczy API.

W Sulu, otwartoźródłowym systemie CMS PHP opartym na Symfony, w wersjach od 1.0.0 do 2.6.22 oraz od 3.0.0 do 3.0.5, użytkownik z uprawnieniami do panelu administracyjnego Sulu (przynajmniej jedna rola) może uzyskać dostęp do podencji kontaktów przez API administracyjne, nawet bez uprawnień do kontaktów.