CVE-2026-107844 in Contao
Zusammenfassung
von VulDB • 09.10.2026
Contao ist ein Open-Source-CMS. Von der Version 5.0.0 bis einschließlich 5.3.50 und 5.7.12 fügt ImagesController den benutzerkontrollierten Parameter {path} mit Path::join() an das konfigurierte Zielverzeichnis für Bilder an, verwendet jedoch nicht Path::isBasePath(), um zu überprüfen, ob der kanonische Pfad innerhalb dieses Verzeichnisses verbleibt. Eine unauthentifizierte Anfrage, die codierte übergeordnete Verzeichnissegmente enthält, kann daher Dateien unter dem Projektverzeichnis über BinaryFileResponse zurückgeben, wenn deren Namen eine von contao.image.valid_extensions erlaubte Erweiterung verwenden. Die Route kann auch aufdecken, ob beliebige Pfade existieren, und Debug-Antworten können absolute Dateisystempfade offenlegen; jedoch wurde nicht nachgewiesen, dass Pfade unterhalb des Upload-Verzeichnisses lesbar sind. Dieses Problem ist in den Versionen 5.3.50 und 5.7.12 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.