CVE-2026-55824

Contao w wersjach przed 3.5.28 oraz 4.x przed 4.4.1 umożliwia zdalnym atakującym dołączenie i wykonanie dowolnych lokalnych plików PHP poprzez spreparowany parametr w URL, co jest znane jako przejście do katalogu.

W wersjach od 4.0.0 do 5.3.50 i 5.7.12, Contao (Open Source CMS) renderuje metadane e-maila lub strony komentarza bez wystarczającego kodowania atrybutów i URL w funkcji listComments(). Nieuwierzytelniony gość może przesłać komentarz ze złośliwym skryptem, który wykona się w kontekście backendu, gdy użytkownik otworzy moduł komentarzy. Problem naprawiono w wersjach 5.3.50 i 5.7.12.

Contao to otwartoźródłowy CMS. Od wersji 5.7.0 do 5.7.12 metoda TableAccessVoter::hasAccessToModule() w pliku core-bundle/src/Security/Voter/DataContainer/TableAccessVoter.php buforuje decyzje autoryzacyjne używając tylko $tokenHash, hasha tokenu bezpieczeństwa użytkownika, i pomija tabelę zwracaną przez getDataSource(). Jeśli jedno żądanie najpierw sprawdza tabelę dozwoloną dla użytkownika, a następnie inną zabronioną tabelę, voter może ponownie użyć dozwolonego wyniku, podczas gdy DefaultDataContainerVoter może przekonwertować nieprawidłowe wstrzymanie się od głosu na zgodę. Użytkownik backendu z niskimi uprawnieniami może w konsekwencji odczytywać, tworzyć, aktualizować lub usuwać rekordy w tabelach poza przypisanymi uprawnieniami modułu, w tym tabele zawierające dane członków lub subskrybentów newslettera. Problem został naprawiony w wersji 5.7.12.

Contao to otwartoźródłowy CMS. Od wersji 5.7.1 do 5.7.12 plik core-bundle/config/services.yaml rejestruje voter dostępu podglądu jako Contao\CoreBundle\Security\Voter\DataContainer\PreviewAccessVoter, mimo że dostarczona klasa to PreviewVoter. Symfony w związku z tym pomija autokonfigurację votera i usuwa prywatną usługę, więc PreviewVoter::hasAccess() nigdy nie egzekwuje własności. Użytkownik backendu niebędący administratorem z modułem preview_link może wyświetlić wszystkie rekordy tl_preview_link, uzyskać podpisane adresy URL udostępniania utworzone przez innych użytkowników i użyć ich do wyświetlenia nieopublikowanych stron z showUnpublished, mimo braku uprawnień do strony. Doradztwo nie potwierdza edycji ani usuwania cudzych linków. Problem został naprawiony w wersji 5.7.12.

Contao od wersji 4.0.0 do 5.3.50 i 5.7.12 ma podatność CSRF, ponieważ RequestTokenListener waliduje token tylko dla żądań POST, a ochrona GET działa tylko przy obecności parametru act. Akcje backendu wywoływane przez parametr key mogą być wykonane bez tokena CSRF, gdy uwierzytelniony użytkownik załaduje złośliwy URL. Problem naprawiono w wersjach 5.3.50 i 5.7.12.

Contao, system CMS, w wersjach od 5.0.0 do 5.3.50 i 5.7.12, ma podatność w ImagesController, który łączy parametr {path} z katalogiem docelowym obrazów bez weryfikacji, czy ścieżka kanoniczna pozostaje w tym katalogu. Nieuwierzytelniony atakujący może użyć zakodowanych segmentów ścieżki nadrzędnej, aby uzyskać dostęp do plików w katalogu projektu, jeśli ich rozszerzenia są dozwolone. Problem został naprawiony w wersjach 5.3.50 i 5.7.12.

Contao, system CMS, w wersjach od 4.1.0 do 5.3.50 i 5.7.12, ma podatność w ModuleRegistration::compile(), która pozwala na wykonanie gałęzi rejestracji uzupełniającej na dowolnym POST do strony z modułem rejestracji bez weryfikacji FORM_SUBMIT lub wyniku captcha. Funkcja resendActivationMail() może wywołać OptInToken::send() bez ograniczania szybkości, co pozwala nieuwierzytelnionemu atakującemu na wielokrotne wysyłanie e-maili aktywacyjnych i sprawdzanie, czy istnieje oczekująca rejestracja. Problem został naprawiony w wersjach 5.3.50 i 5.7.12.

Contao, system CMS, w wersjach od 4.0.0 do 5.3.50 i 5.7.12, ma podatność w ModuleSearch, która może ujawnić tytuły, adresy URL i fragmenty indeksowane chronionych stron nieuwierzytelnionym odwiedzającym, gdy ustawienie contao.search.index_protected zostanie zmienione z włączonego na wyłączone. Metadane autoryzacji są przechowywane per wiersz w tl_search, ale wyłączenie ustawienia usuwa filtr chronionych wierszy bez usuwania wierszy zindeksowanych, gdy ochrona była włączona. Problem został naprawiony w wersjach 5.3.50 i 5.7.12.

Contao CMS w wersjach 5.7.0 do 5.7.6 zawiera podatność na ominięcie autoryzacji między zadaniami. Uwierzytelniony użytkownik backendu może odczytać załączniki z innych zadań, manipulując identyfikatorem załącznika za pomocą sekwencji '../'.

Contao CMS w wersjach 5.3.35 do 5.3.47 oraz 5.7.0-RC1 do 5.7.8 zawiera podatność SSRF w module Feed Reader. Użytkownik backendu z uprawnieniami do edycji modułów może sprawić, że serwer wykona żądania do wewnętrznych usług sieciowych, adresów pętli zwrotnej lub punktów końcowych metadanych chmury.