Zaloguj się
Deutsch English Español Polski
Krytyczna

Access control issue in ezsystems/ezpublish-kernel

  • Ujawniono: 29.04.2022
  • Aktualizacja: 11.10.2026 10:22

Access control based on object state is mishandled. This is a policy you can use in your roles to limit access to content based on specific object state values. Due to a flawed earlier update, these limitations were ineffective in releases made since February 16th 2022. They would grant access to the given content regardless of the object state. Depending on how your frontent is designed, knowing the URL to the content may or may not be required to access it. If you are using object state limitations in your roles, this issue is critical. Please apply the fix as soon as possible.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer ezsystems/ezpublish-kernel >= 7.5.0, < 7.5.28 7.5.28

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-281, CWE-862
Platforma
Composer
Paczka
ezsystems/ezpublish-kernel
Ujawniono
29.04.2022
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-5x4f-7xgq-r42x - CC BY 4.0

OSV / GitHub Advisory Database - GHSA-h5v2-wrhp-5v35 - CC BY 4.0

Historia podatności: ezsystems/ezpublish-kernel

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (14) w archiwum
Wszystkich wpisów
14
Pierwsza → ostatnia
03.2021 05.2024
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 5
  • Średnia 2
  • Niska 2

Ujawnienia w latach

Istotność:
  1. eZ Platform Object Injection in SiteAccessMatchListener
    Wysoka ghsa-64vj-933f-6pm3 >= 7.5.0, < 7.5.8, >= 6.13.0, < 6.13.6.4, >= 5.4.0, < 5.4.15 7.5.8, 6.13.6.4, 5.4.15
  2. eZ Publish Remote code execution in file uploads
    Wysoka ghsa-3vwr-jj4f-h98x >= 7.5.0, < 7.5.6.2, >= 6.13.0, < 6.13.6.2, >= 5.4.0, < 5.4.14.1 7.5.6.2, 6.13.6.2, 5.4.14.1
  3. Company admin role gives excessive privileges in eZ Platform Ibexa
    Wysoka · 7.2 CVE-2022-48365 >= 7.5.0, < 7.5.30 7.5.30
  4. eZ Platform users with the Company admin role can assign any role to any user
    Krytyczna ghsa-99r3-xmmq-7q7g >= 7.5.0, < 7.5.30 7.5.30
  5. Login timing attack in ezsystems/ezpublish-kernel
    Krytyczna ghsa-xfqg-p48g-hh94 >= 7.5.0, < 7.5.29 7.5.29
  6. eZ Publish Kernel and Legacy Unrestricted Upload of File with Dangerous Type
    Krytyczna · 9.8 CVE-2020-10806 < 5.4.14.1, >= 6.0, < 6.13.6.2, >= 7.0, < 7.5.6.2 5.4.14.1, 6.13.6.2, 7.5.6.2
  7. Access control issue in ezsystems/ezpublish-kernel ten wpis
    Krytyczna · 9.8 CVE-2022-48367 >= 7.5.0, < 7.5.28 7.5.28
  8. Code injection in ezsystems/ezpublish-kernel
    Krytyczna · 9.8 CVE-2022-25337 >= 7.5.0, < 7.5.26 7.5.26
  9. IBX-1392: Image filenames sanitization
    Wysoka ghsa-44m4-9cjp-j587 >= 7.5.0, < 7.5.26 7.5.26
  10. Cross-site scripting in eZ Platform Kernel
    Wysoka CVE-2021-46875 < 6.13.8.2, >= 7.0.0, < 7.5.15.2 6.13.8.2, 7.5.15.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.