CVE-2026-54087 in EasyAdminBundle
Zusammenfassung
von VulDB • 14.09.2026
EasyAdmin ist ein schneller und moderner Admin-Generator für Symfony-Anwendungen. Von Version 5.0.0 bis 5.0.13 können FileField und ImageField browserausführbare Uploads akzeptieren, während die Vorlage templates/crud/field/file.html.twig auf gespeicherte Dateien verweist, um sie im selben Ursprung (same-origin) ohne Download-Attribut oder Content-Disposition-Anhangsheader inline darzustellen. Wenn Uploads unter dem öffentlichen Webroot gespeichert werden, kann ein Angreifer mit Zugriff auf ein betroffenes Formular HTML über FileField oder SVG über ImageField hochladen, und JavaScript wird im Ursprung eines authentifizierten Administrators ausgeführt, wenn die Datei aus dem Backend geöffnet wird. Die Ausnutzung (Exploitation) erfordert eine Berechtigungsunterschied zwischen dem Hochlader und dem Betrachter. Das Problem kann Session- oder CSRF-Tokens offenlegen und Privilegieneskalation ermöglichen, erlaubt jedoch keine PHP- oder PHTML-Code-Ausführung, da Symfony guessExtension diese gespeicherten Erweiterungen nicht erzeugt. Dieses Problem wurde in Version 5.0.13 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.