Anmelden
Deutsch English Español Polski
Mittel

Silverstripe Missing security check on dev/build/defaults

  • Veröffentlicht: 23.05.2024
  • Aktualisiert: 11.10.2026 10:22

The buildDefaults method on DevelopmentAdmin is missing a permission check.

In live mode, if you access /dev/build, you are requested to login first. However, if you access /dev/build/defaults, then the action is performed without any login check. This should be protected in the same way that /dev/build is. The buildDefaults view is requireDefaultRecords() on each DataObject class, and hence has the potential to modify database state. It also lists all modified tables, allowing attackers more insight into which modules are used, and how the database tables are structured.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket silverstripe/framework < 3.1.17, >= 3.2.0, < 3.2.2, >= 3.3.0-beta1, < 3.3.0 3.1.17, 3.2.2, 3.3.0

Verweise

CVSS-Wert 6.5/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Schwäche (CWE)
CWE-425
Plattform
Composer
Paket
silverstripe/framework
Veröffentlicht
23.05.2024
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-x5w2-wcr8-9q45 - CC BY 4.0

Schwachstellenhistorie: silverstripe/framework

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (93) im Archiv
Einträge insgesamt
93
Erste → letzte
11.2019 08.2026
Ohne Fix
1
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 3
  • Hoch 13
  • Mittel 69
  • Niedrig 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. silverstripe/framework has potential SQL Injection vulnerability in PostgreSQL database connector
    Hoch · 8.8 ghsa-265q-222x-52m6 >= 4.0.0-rc1, < 4.0.6, >= 4.1.0-rc1, < 4.1.4, >= 4.2.0-rc1, < 4.2.3 4.0.6, 4.1.4, 4.2.3
  2. silverstripe/framework has possible denial of service attack vector when flushing
    Hoch · 7.5 ghsa-cwgq-83w5-8jfq >= 4.0.0-rc1, < 4.0.5, >= 4.1.0-rc1, < 4.1.3, >= 4.2.0-rc1, < 4.2.2 4.0.5, 4.1.3, 4.2.2
  3. silverstripe/framework allows upload of dangerous file types
    Hoch · 8.8 ghsa-vcg6-8fxc-x5cq >= 3.6.5-rc1, < 3.6.6, >= 4.0.3-rc1, < 4.0.4, >= 4.1.0-rc1, < 4.1.1 3.6.6, 4.0.4, 4.1.1
  4. silverstripe/framework code execution vulnerability
    Hoch · 7.5 ghsa-vgxh-x8jv-hmff >= 4.0.3-rc1, < 4.0.4, >= 4.1.0-rc1, < 4.1.1 4.0.4, 4.1.1
  5. silverstripe/framework BackURL validation bypass with malformed URLs
    Hoch · 7.5 ghsa-m5q3-mvcr-gc5m >= 4.0.0-rc1, < 4.0.4, >= 4.1.0-rc1, < 4.1.1 4.0.4, 4.1.1
  6. silverstripe/framework SQL injection in full text search
    Hoch · 8.8 ghsa-xx4r-5265-48j6 >= 3.5.0-rc1, < 3.5.6, >= 3.6.0-rc1, < 3.6.3, >= 4.0.0-rc1, < 4.0.1 3.5.6, 3.6.3, 4.0.1
  7. silverstripe/framework CSV Excel Macro Injection
    Hoch · 8.0 ghsa-mqjc-x563-c9q8 >= 3.5.0-rc1, < 3.5.6, >= 3.6.0-rc1, < 3.6.3, >= 4.0.0-rc1, < 4.0.1 3.5.6, 3.6.3, 4.0.1
  8. silverstripe/framework vulnerable to user enumeration via timing attack on login and password reset forms
    Hoch ghsa-7m2v-x7rg-5hm5 >= 3.5.0-rc1, < 3.5.5, >= 3.6.0-rc1, < 3.6.2 3.5.5, 3.6.2
  9. silverstripe/framework's User-Agent header not correctly invalidating user session
    Hoch · 7.5 ghsa-4qx8-j9vh-2628 >= 3.5.0-rc1, < 3.5.6, >= 3.6.0-rc1, < 3.6.3 3.5.6, 3.6.3
  10. Silverstripe Brute force bypass on default admin
    Kritisch · 9.1 ghsa-8v6m-7f5v-hhx6 >= 3.1.18, < 3.1.19, >= 3.2.3, < 3.2.4, >= 3.3.1, < 3.3.2 3.1.19, 3.2.4, 3.3.2
  11. Silverstripe Missing security check on dev/build/defaults dieser Eintrag
    Mittel · 6.5 ghsa-x5w2-wcr8-9q45 < 3.1.17, >= 3.2.0, < 3.2.2, >= 3.3.0-beta1, < 3.3.0 3.1.17, 3.2.2, 3.3.0
  12. Silverstripe X-Forwarded-Host request hostname injection
    Hoch · 7.2 ghsa-25gq-jvx2-vg9x >= 3.1.0, < 3.1.13 3.1.13
  13. Blind SQL Injection via GridFieldSortableHeader
    Hoch · 8.8 CVE-2022-38148 >= 4.0.0, < 4.10.11, >= 4.11.0, < 4.11.14 4.10.11, 4.11.14
  14. Silverstripe CMS information disclosure
    Hoch · 7.5 CVE-2020-6164 >= 4.0.0, < 4.4.7, >= 4.5.0, < 4.5.4 4.4.7, 4.5.4
  15. SilverStripe Folders migrated from 3.x may be unsafe to upload to
    Hoch · 7.5 CVE-2020-9280 >= 4.0.0, < 4.4.6 4.4.6
  16. Silverstripe Framework SQLi Vulnerability
    Kritisch · 9.8 CVE-2019-5715 >= 3.0.0, < 3.6.7, >= 4.0.0, < 4.0.7, >= 3.7.0, < 3.7.3, >= 4.1.0, < 4.1.5, >= 4.2.0, < 4.2.4, >= 4.3.0, < 4.3.1 3.6.7, 4.0.7, 3.7.3, 4.1.5, 4.2.4, 4.3.1
  17. Missing warning can lead to unauthenticated admin access in SilverStripe
    Kritisch · 9.8 CVE-2019-12204 >= 4.1.0, < 4.3.5 4.3.5

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.