Contao: Salto de directorio en el controlador de imágenes
ImagesController une la entrada controlada por el usuario {path} al directorio de destino de imágenes configurado mediante Path::join(), lo que canoniza los segmentos .. sin invocar en ningún momento Path::isBasePath() para verificar que el resultado permanezca dentro de dicho directorio. Por tanto, una petición GET no autenticada con segmentos de punto codificados en porcentaje escapa del directorio y BinaryFileResponse devuelve el archivo.
Las lecturas están restringidas a las extensiones listadas en contao.image.valid_extensions, y las rutas situadas bajo el directorio de subidas fallan por un motivo no relacionado; por ello se reporta como una comprobación de límites faltante en lugar de una lectura arbitraria general de archivos. Tanto Apache con el archivo provisto public/.htaccess como nginx con la configuración documentada se ven afectados.
Impacto
Cualquier visitante no autenticado puede leer archivos que se encuentren deliberadamente fuera de la raíz de documentos, en cualquier lugar bajo el directorio del proyecto, siempre que el nombre termine en una de las extensiones de contao.image.valid_extensions (jpg, jpeg, gif, png, tif, tiff, bmp, svg, svgz, webp).
La ruta también actúa como un oráculo de existencia para rutas arbitrarias y, en instancias con depuración habilitada, el mensaje 404 expone la ruta absoluta del sistema de archivos.
Salvedad indicada porque reduce la gravedad: No fue posible utilizar esto para leer carpetas de miembros protegidas: cada ruta bajo el directorio de subidas devuelve 500 por la causa expuesta, por lo que el conjunto prácticamente accesible se limita a archivos de tipo imagen fuera de files/.
Qué hacer
Actualice contao/core-bundle a la versión 5.3.50, 5.7.12 o posterior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | contao/core-bundle | >= 4.1.0, < 5.3.50, >= 5.4.0-RC1, < 5.7.12 | 5.3.50, 5.7.12 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N- Debilidad (CWE)
CWE-22- Plataforma
- Composer
- Paquete
contao/core-bundle- Publicada
- 09.10.2026
- Actualizado
- 11.10.2026 10:31
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-mrvp-7wmx-5m4h - CC BY 4.0
Historial de vulnerabilidades: contao/core-bundle
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 40
- Primera → última
- 12.2019 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 4
- Alta 7
- Media 23
- Baja 6
Divulgaciones por año
- 2019: 3
- 2020: 1
- 2021: 4
- 2022: 8
- 2023: 1
- 2024: 7
- 2025: 7
- 2026: 9
-
Contao: Salto de directorio en el controlador de imágenes esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.