Średnia

Silverstripe Assets Module has a DBFile::getURL() permission bypass

Ujawniono: 16.04.2026
Aktualizacja: 11.10.2026 10:22

Impact

Images rendered in templates or otherwise accessed via DBFile::getURL() or DBFile::getSourceURL() incorrectly add an access grant to the current session, which bypasses file permissions.

This usually happens when creating an image variant, for example using a manipulation method like ScaleWidth() or Convert().

Note that if you use DBFile directly in the $db configuration for a DataObject class that doesn't subclass File, and if you were setting the visibility of those files to "protected", those files will now need an explicit access grant to be accessed. If you do not want to explicitly provide access grants for these files (i.e. you want these files to be accessible by default), you should use the "public" visibility.

Reported by

Restruct web & apps

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka Composer	silverstripe/assets	< 2.4.5, >= 3.0.0, < 3.1.3	2.4.5, 3.1.3

Odnośniki

Ocena CVSS 5.3/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Słabość (CWE): CWE-266, CWE-863
Platforma: Composer
Paczka: silverstripe/assets
Ujawniono: 16.04.2026
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jgcf-rf45-2f8v - CC BY 4.0

Historia podatności: silverstripe/assets

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 6
Pierwsza → ostatnia: 11.2019 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 5

Ujawnienia w latach

2019: 1
2020: 0
2021: 0
2022: 4
2023: 0
2024: 0
2025: 0
2026: 1

16.04.2026

Silverstripe Assets Module has a DBFile::getURL() permission bypass ten wpis

Średnia · 5.3 CVE-2026-24749 < 2.4.5, >= 3.0.0, < 3.1.3 2.4.5, 3.1.3
21.11.2022

Silverstripe XSS in shortcodes

Średnia · 5.4 CVE-2022-38724 >= 1.0.0, < 1.11.1 1.11.1
21.11.2022

XSS via uploaded gpx file

Średnia · 5.4 CVE-2022-38147 >= 1.0.0, < 1.11.1 1.11.1
29.06.2022

Unpublished, protected files can be published via shortcode

Średnia · 4.3 CVE-2022-29858 >= 1.0.0, < 1.10.1 1.10.1
24.05.2022

SilverStripe Folders migrated from 3.x may be unsafe to upload to

Wysoka · 7.5 CVE-2020-9280 >= 1.0.0, < 1.4.7, >= 1.5.0, < 1.5.2 1.4.7, 1.5.2
12.11.2019

Lack of access control on upoaded files

Średnia · 5.3 CVE-2019-12245 >= 1.0.0, < 1.3.5, >= 1.4.0, < 1.4.4 1.3.5, 1.4.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację