Mittel

Sulu grants access to pages regardless of role permissions

Veröffentlicht: 04.03.2024
Aktualisiert: 11.10.2026 10:22

Impact

What kind of vulnerability is it? Who is impacted?

Access to pages is granted regardless of role permissions for webspaces which have a security system configured and permission check enabled. Webspaces without do not have this issue.

Patches

Has the problem been patched? What versions should users upgrade to?

The problem is patched with Version 2.4.17 and 2.5.13.

Workarounds

Is there a way for users to fix or remediate the vulnerability without upgrading?

Remove following lines from vendor/symfony/security-http/HttpUtils.php:

php

-            // Shortcut if request has already been matched before
-            if ($request->attributes->has('_route')) {
-                return $path === $request->attributes->get('_route');
 -           }

Or do not install symfony/security-http versions greater equal than v5.4.30 or v6.3.6.

References

Are there any links users can visit to find out more?

Currently no references.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	sulu/sulu	>= 2.2.0, < 2.4.17, >= 2.5.0-alpha1, < 2.5.13	2.4.17, 2.5.13

Verweise

CVSS-Wert 6.8/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE): CWE-863
Plattform: Composer
Paket: sulu/sulu
Veröffentlicht: 04.03.2024
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-jr83-m233-gg6p - CC BY 4.0

Schwachstellenhistorie: sulu/sulu

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (18) im Archiv

Einträge insgesamt: 18
Erste → letzte: 08.2020 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 2
Mittel 14
Niedrig 2

Veröffentlichungen pro Jahr

2020: 1
2021: 4
2022: 0
2023: 1
2024: 4
2025: 1
2026: 7

04.03.2024

Sulu grants access to pages regardless of role permissions dieser Eintrag

Mittel · 6.8 CVE-2024-27915 >= 2.2.0, < 2.4.17, >= 2.5.0-alpha1, < 2.5.13 2.4.17, 2.5.13
15.12.2021

Privilege escalation in the Sulu Admin panel

Hoch · 7.2 CVE-2021-43835 >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 2.2.18, 2.3.8, 2.4.0
15.12.2021

PHP file inclusion in the Sulu admin panel

Hoch · 8.5 CVE-2021-43836 < 1.6.44, >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 1.6.44, 2.2.18, 2.3.8, 2.4.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden