Średnia

Lack of access control on upoaded files

Ujawniono: 12.11.2019
Aktualizacja: 11.10.2026 10:22

SilverStripe through 4.3.3 has incorrect access control for protected files uploaded via Upload::loadIntoFile(). An attacker may be able to guess a filename in silverstripe/assets via the AssetControlExtension.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	silverstripe/assets	>= 1.0.0, < 1.3.5, >= 1.4.0, < 1.4.4	1.3.5, 1.4.4
Paczka Composer	silverstripe/framework	< 3.6.8, >= 3.7.0, < 3.7.4, >= 4.0.0, < 4.3.6, >= 4.4.0, < 4.4.4	3.6.8, 3.7.4, 4.3.6, 4.4.4

Odnośniki

Ocena CVSS 5.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE): CWE-732
Platforma: Composer
Paczka: silverstripe/assets, silverstripe/framework
Ujawniono: 12.11.2019
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jvx5-rm6q-gx7p - CC BY 4.0

Historia podatności: silverstripe/assets

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 11.2019 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 5

Ujawnienia w latach

2019: 1
2020: 0
2021: 0
2022: 4
2023: 0
2024: 0
2025: 0
2026: 1

16.04.2026

Silverstripe Assets Module has a DBFile::getURL() permission bypass

Średnia · 5.3 CVE-2026-24749 < 2.4.5, >= 3.0.0, < 3.1.3 2.4.5, 3.1.3
21.11.2022

Silverstripe XSS in shortcodes

Średnia · 5.4 CVE-2022-38724 >= 1.0.0, < 1.11.1 1.11.1
21.11.2022

XSS via uploaded gpx file

Średnia · 5.4 CVE-2022-38147 >= 1.0.0, < 1.11.1 1.11.1
29.06.2022

Unpublished, protected files can be published via shortcode

Średnia · 4.3 CVE-2022-29858 >= 1.0.0, < 1.10.1 1.10.1
24.05.2022

SilverStripe Folders migrated from 3.x may be unsafe to upload to

Wysoka · 7.5 CVE-2020-9280 >= 1.0.0, < 1.4.7, >= 1.5.0, < 1.5.2 1.4.7, 1.5.2
12.11.2019

Lack of access control on upoaded files ten wpis

Średnia · 5.3 CVE-2019-12245 >= 1.0.0, < 1.3.5, >= 1.4.0, < 1.4.4 1.3.5, 1.4.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację