Media

Sulu grants access to pages regardless of role permissions

Publicada: 04.03.2024
Actualizado: 11.10.2026 10:22

Impact

What kind of vulnerability is it? Who is impacted?

Access to pages is granted regardless of role permissions for webspaces which have a security system configured and permission check enabled. Webspaces without do not have this issue.

Patches

Has the problem been patched? What versions should users upgrade to?

The problem is patched with Version 2.4.17 and 2.5.13.

Workarounds

Is there a way for users to fix or remediate the vulnerability without upgrading?

Remove following lines from vendor/symfony/security-http/HttpUtils.php:

php

-            // Shortcut if request has already been matched before
-            if ($request->attributes->has('_route')) {
-                return $path === $request->attributes->get('_route');
 -           }

Or do not install symfony/security-http versions greater equal than v5.4.30 or v6.3.6.

References

Are there any links users can visit to find out more?

Currently no references.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Paquete de Composer	sulu/sulu	>= 2.2.0, < 2.4.17, >= 2.5.0-alpha1, < 2.5.13	2.4.17, 2.5.13

Referencias

Puntuación CVSS 6.8/10

Vector CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N
Debilidad (CWE): CWE-863
Plataforma: Composer
Paquete: sulu/sulu
Publicada: 04.03.2024
Actualizado: 11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-jr83-m233-gg6p - CC BY 4.0

Historial de vulnerabilidades: sulu/sulu

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (18) en el archivo

Entradas en total: 18
Primera → última: 08.2020 09.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 2
Media 14
Baja 2

Divulgaciones por año

2020: 1
2021: 4
2022: 0
2023: 1
2024: 4
2025: 1
2026: 7

04.03.2024

Sulu grants access to pages regardless of role permissions esta entrada

Media · 6.8 CVE-2024-27915 >= 2.2.0, < 2.4.17, >= 2.5.0-alpha1, < 2.5.13 2.4.17, 2.5.13
15.12.2021

Privilege escalation in the Sulu Admin panel

Alta · 7.2 CVE-2021-43835 >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 2.2.18, 2.3.8, 2.4.0
15.12.2021

PHP file inclusion in the Sulu admin panel

Alta · 8.5 CVE-2021-43836 < 1.6.44, >= 2.0.0, < 2.2.18, >= 2.3.0, < 2.3.8, >= 2.4.0-RC1, < 2.4.0 1.6.44, 2.2.18, 2.3.8, 2.4.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación