Contao: Unzureichende Zugriffskontrolle im Modul für Vorschaulinks
core-bundle/config/services.yaml registriert den Voter für den Vorschauzugriff mit der Klasse Contao\CoreBundle\Security\Voter\DataContainer\PreviewAccessVoter, die auf dem Datenträger bereitgestellte Klasse heißt jedoch PreviewVoter. Symfony löst die Klasse mit getReflectionClass($class, false) auf, erhält null, überspringt stillschweigend die schnittstellenbasierte Autokonfiguration, die sie als Voter gekennzeichnet hätte, und der nun nicht getaggte private Dienst wird beim Kompilieren des Containers entfernt. Die Anwendung startet ohne Warnung, und die Besitzregel in PreviewVoter::hasAccess() wird nie ausgeführt. tl_preview_link besitzt keinen kompensierenden SQL-Filter auf createdBy, sodass jeder Nicht-Administrator-Backend-Benutzer, dessen Gruppe das Modul preview_link zugewiesen ist, jeden Vorschaulink der Installation einsehen und die bereits signierten Freigabe-URLs direkt aus der Liste entnehmen kann. Das Aufrufen einer solchen URL gewährt jedermann die Frontend-Vorschau der Zielseite mit showUnpublished und ohne jegliche Prüfung der Seitenberechtigungen.
Auswirkungen
Ein Nicht-Administrator-Backend-Benutzer kann alle Vorschaulinks der Installation einsehen, einschließlich der von Administratoren erstellten, und die bereits signierten Freigabe-URLs aus der Liste entnehmen. Das Aufrufen eines Links gewährt mit showUnpublished und ohne Überprüfung von Seitenberechtigungen die Frontend-Vorschau der Zielseite. Dadurch werden unveröffentlichte Inhalte für Benutzer sichtbar, die keine Rechte an diesen Seiten besitzen, sowie für jeden, an den die URL weitergeleitet wird.
Einschränkung zur Schweregradeinstufung: UpdateAction auf einem Datensatz im Besitz eines anderen Benutzers wurde im Testaufbau durch DcaPermissionVoter verweigert; es wird daher nicht behauptet, dass fremde Vorschaulinks bearbeitet oder gelöscht werden können.
Was zu tun ist
Aktualisieren Sie contao/core-bundle auf Version 5.7.12 oder neuer.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| Composer-Paket | contao/core-bundle | >= 5.7.1, < 5.7.12 | 5.7.12 |
Verweise
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N- Schwäche (CWE)
CWE-639, CWE-862- Plattform
- Composer
- Paket
contao/core-bundle- Veröffentlicht
- 09.10.2026
- Aktualisiert
- 11.10.2026 10:32
Quellen und Lizenzen · Von DockRay bearbeitet oder übersetzt; Rechte und Lizenzen der Quellen bleiben erhalten.
OSV / GitHub Advisory Database - GHSA-q6wp-fr43-gm9v - CC BY 4.0
Schwachstellenhistorie: contao/core-bundle
Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 40
- Erste → letzte
- 12.2019 10.2026
- Ohne Fix
- 0
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 4
- Hoch 7
- Mittel 23
- Niedrig 6
Veröffentlichungen pro Jahr
- 2019: 3
- 2020: 1
- 2021: 4
- 2022: 8
- 2023: 1
- 2024: 7
- 2025: 7
- 2026: 9
-
Contao: Unzureichende Zugriffskontrolle im Modul für Vorschaulinks dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.