Contao: Control de acceso incorrecto en el módulo de enlaces de vista previa
core-bundle/config/services.yaml registra el votante de acceso a la vista previa con la clase Contao\CoreBundle\Security\Voter\DataContainer\PreviewAccessVoter, pero la clase incluida en el disco se llama PreviewVoter. Symfony resuelve la clase con getReflectionClass($class, false), obtiene null, omite de forma silenciosa la autoconfiguración basada en interfaces que la habría etiquetado como votante y el servicio privado sin etiquetar se elimina cuando se compila el contenedor. La aplicación se inicia sin advertencias y la regla de pertenencia en PreviewVoter::hasAccess() nunca se ejecuta. tl_preview_link no dispone de un filtro SQL compensatorio en createdBy, por lo que cualquier usuario de back end no administrador cuyo grupo incluya el módulo preview_link puede leer todos los enlaces de vista previa de la instalación y obtener las URL compartidas ya firmadas directamente de la lista. Seguir una de ellas otorga una vista previa de front end de la página de destino, con showUnpublished y sin comprobación de permisos de página, a cualquier persona.
Impacto
Un usuario de back end sin privilegios de administrador puede leer todos los enlaces de vista previa de la instalación, incluidos los creados por administradores, y extraer de la lista las URL para compartir ya firmadas. Acceder a uno de estos enlaces concede la vista previa en el front end de la página de destino con showUnpublished y sin comprobación alguna de permisos de página, por lo que el contenido no publicado queda accesible para usuarios sin permisos en dichas páginas y para cualquiera a quien se reenvíe la URL.
Salvedad sobre la gravedad: UpdateAction en un registro perteneciente a otro usuario fue denegado en el entorno de pruebas por DcaPermissionVoter, por lo que no se afirma que un enlace de vista previa ajeno pueda ser editado o eliminado.
Qué hacer
Actualice contao/core-bundle a la versión 5.7.12 o superior.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de Composer | contao/core-bundle | >= 5.7.1, < 5.7.12 | 5.7.12 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N- Debilidad (CWE)
CWE-639, CWE-862- Plataforma
- Composer
- Paquete
contao/core-bundle- Publicada
- 09.10.2026
- Actualizado
- 11.10.2026 10:32
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-q6wp-fr43-gm9v - CC BY 4.0
Historial de vulnerabilidades: contao/core-bundle
Todas las vulnerabilidades publicadas de este paquete (Paquete de Composer), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 40
- Primera → última
- 12.2019 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 4
- Alta 7
- Media 23
- Baja 6
Divulgaciones por año
- 2019: 3
- 2020: 1
- 2021: 4
- 2022: 8
- 2023: 1
- 2024: 7
- 2025: 7
- 2026: 9
-
Contao: Control de acceso incorrecto en el módulo de enlaces de vista previa esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.