Mittel

Sulu vulnerable to XXE in SVG File upload Inspector

Veröffentlicht: 15.05.2025
Aktualisiert: 11.10.2026 10:22

Impact

A admin user can upload SVG which may load external data via XML DOM library, specially this can be used for eventually reference none secure XML External Entity References.

Patches

The problem has not been patched yet. Users should upgrade to patched versions once they become available. Currently affected versions are:

2.6.9
2.5.25
3.0.0-alpha3

Workarounds

Patch the effect file src/Sulu/Bundle/MediaBundle/FileInspector/SvgFileInspector.php in sulu with:

diff

-$dom->loadXML($svg, \LIBXML_NOENT | \LIBXML_DTDLOAD);
+$dom->loadXML($data, LIBXML_NONET);

References

GitHub repository: https://github.com/sulu/sulu
Vulnerable code: https://github.com/sulu/sulu/blob/2.6/src/Sulu/Bundle/MediaBundle/FileInspector/SvgFileInspector.php

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	sulu/sulu	>= 2.5.21, < 2.5.25, >= 2.6.5, < 2.6.9, >= 3.0.0-alpha1, < 3.0.0-alpha3	2.5.25, 2.6.9, 3.0.0-alpha3

Verweise

CVSS-Wert -

CVSS-Vektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:U
Schwäche (CWE): CWE-611
Plattform: Composer
Paket: sulu/sulu
Veröffentlicht: 15.05.2025
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-f6rx-hf55-4255 - CC BY 4.0

Schwachstellenhistorie: sulu/sulu

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (18) im Archiv

Einträge insgesamt: 18
Erste → letzte: 08.2020 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 2
Mittel 14
Niedrig 2

Veröffentlichungen pro Jahr

2020: 1
2021: 4
2022: 0
2023: 1
2024: 4
2025: 1
2026: 7

15.05.2025

Sulu vulnerable to XXE in SVG File upload Inspector dieser Eintrag

Mittel CVE-2025-47778 >= 2.5.21, < 2.5.25, >= 2.6.5, < 2.6.9, >= 3.0.0-alpha1, < 3.0.0-alpha3 2.5.25, 2.6.9, 3.0.0-alpha3
15.12.2021

Privilege escalation in the Sulu Admin panel

Hoch · 7.2 CVE-2021-43835 >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 2.2.18, 2.3.8, 2.4.0
15.12.2021

PHP file inclusion in the Sulu admin panel

Hoch · 8.5 CVE-2021-43836 < 1.6.44, >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 1.6.44, 2.2.18, 2.3.8, 2.4.0

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden