Mittel

Sulu Observable Response Discrepancy on Admin Login

Veröffentlicht: 03.08.2023
Aktualisiert: 11.10.2026 10:22

Impact

It allows over the Admin Login form to detect which user (username, email) exists and which one do not exist.

Impacted by this issue are Sulu installation >= 2.5.0 and <2.5.10 using the newer Symfony Security System which is default since Symfony 6.0 but can be enabled in Symfony 5.4. Sulu Installation not using the old Symfony 5.4 security System and previous version are not impacted by this Security issue.

Patches

The problem has been patched in version 2.5.10.

Workarounds

Create a custom AuthenticationFailureHandler which does not return the $exception->getMessage(); instead the $exception->getMessageKey();

References

Currently no references.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	sulu/sulu	>= 2.5.0, < 2.5.10	2.5.10

Verweise

CVSS-Wert 4.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE): CWE-204
Plattform: Composer
Paket: sulu/sulu
Veröffentlicht: 03.08.2023
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-wmwf-49vv-p3mr - CC BY 4.0

Schwachstellenhistorie: sulu/sulu

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (18) im Archiv

Einträge insgesamt: 18
Erste → letzte: 08.2020 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 2
Mittel 14
Niedrig 2

Veröffentlichungen pro Jahr

2020: 1
2021: 4
2022: 0
2023: 1
2024: 4
2025: 1
2026: 7

03.08.2023

Sulu Observable Response Discrepancy on Admin Login dieser Eintrag

Mittel · 4.3 CVE-2023-39343 >= 2.5.0, < 2.5.10 2.5.10
15.12.2021

Privilege escalation in the Sulu Admin panel

Hoch · 7.2 CVE-2021-43835 >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 2.2.18, 2.3.8, 2.4.0
15.12.2021

PHP file inclusion in the Sulu admin panel

Hoch · 8.5 CVE-2021-43836 < 1.6.44, >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 1.6.44, 2.2.18, 2.3.8, 2.4.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden