Iniciar sesión
Deutsch English Español Polski
Media

Contao applies improper access control in the back end voters

  • Publicada: 28.08.2025
  • Actualizado: 11.10.2026 10:22

Impact

The table access voter in the back end doesn't check if a user is allowed to access the corresponding module.

Patches

Update to Contao 5.3.38 or 5.6.1.

Workarounds

Do not rely solely on the voter and additionally check USER_CAN_ACCESS_MODULE.

For more information

If you have any questions or comments about this advisory, open an issue in contao/contao.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Paquete de Composer contao/contao >= 5.0.0, < 5.3.38, >= 5.4.0-RC1, < 5.6.1 5.3.38, 5.6.1
Paquete de Composer contao/core-bundle >= 5.0.0, < 5.3.38, >= 5.4.0-RC1, < 5.6.1 5.3.38, 5.6.1

Referencias

Puntuación CVSS 4.3/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Debilidad (CWE)
CWE-284
Plataforma
Composer
Paquete
contao/contao, contao/core-bundle
Publicada
28.08.2025
Actualizado
11.10.2026 10:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-7m47-r75r-cx8v - CC BY 4.0

Historial de vulnerabilidades: contao/contao

Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (25) en el archivo
Entradas en total
25
Primera → última
12.2019 09.2026
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 4
  • Alta 6
  • Media 12
  • Baja 3

Divulgaciones por año

Gravedad:
  1. Contao applies improper access control in the back end voters esta entrada
    Media · 4.3 CVE-2025-57758 >= 5.0.0, < 5.3.38, >= 5.4.0-RC1, < 5.6.1 5.3.38, 5.6.1
  2. Path traversal vulnerability in the file manager
    Alta · 8.8 CVE-2023-29200 >= 4.9.0, < 4.9.40, >= 4.13.0, < 4.13.21, >= 5.1.0, < 5.1.4 4.9.40, 4.13.21, 5.1.4
  3. Contao SQL injection in the file manager
    Crítica · 9.8 CVE-2019-11512 >= 4.1.0, < 4.4.39, >= 4.5.0, < 4.7.5 4.4.39, 4.7.5
  4. Contao SQL injection in the backend and listing module
    Crítica · 9.8 CVE-2017-16558 >= 3.0.0, <= 3.5.30, >= 4.0.0, < 4.4.8 4.4.8
  5. Cross site scripting via canonical tag in Contao
    Alta · 7.2 CVE-2022-24899 >= 4.13.0, < 4.13.3 4.13.3
  6. Contao CSRF Token Bypass
    Alta · 8.8 CVE-2019-10642 >= 4.7.0, < 4.7.3 4.7.3
  7. Contao Does Not Invalidate Existing Sessions When Password Changes
    Crítica · 9.8 CVE-2019-10641 >= 4.0.0, < 4.4.37, >= 4.5.0, < 4.7.3 4.4.37, 4.7.3
  8. Contao Core directory traversal vulnerability
    Alta · 8.8 CVE-2017-10993 >= 4.0.0, < 4.4.1 4.4.1
  9. Contao Does Not Expire Tokens Correctly
    Crítica · 9.8 CVE-2019-10643 >= 4.7.0, < 4.7.3 4.7.3
  10. Privilege escalation via form generator
    Alta · 8.0 CVE-2021-37627 >= 4.0.0, < 4.4.56, >= 4.5.0, < 4.9.18, >= 4.10.0, < 4.11.7 4.4.56, 4.9.18, 4.11.7
  11. Unrestricted file uploads in Contao
    Alta · 8.8 CVE-2019-19745 >= 4.0.0, < 4.4.46, >= 4.5.0, < 4.8.6 4.4.46, 4.8.6

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.