CVE-2026-107844 in Contao
Riassunto
di VulDB • 09/10/2026
Contao è un CMS open source. Dalle versioni 5.0.0 alla 5.3.50 e dalla versione 5.7.12, ImagesController concatena il parametro {path} controllato dall'utente con la directory di destinazione delle immagini configurata utilizzando Path::join(), ma non utilizza Path::isBasePath() per verificare che il percorso canonico rimanga all'interno di tale directory. Una richiesta non autenticata contenente segmenti codificati di parentesi genitore (..) può quindi restituire file presenti nella directory del progetto tramite BinaryFileResponse, purché i loro nomi utilizzino un'estensione consentita da contao.image.valid_extensions. Il route può anche rivelare l'esistenza di percorsi arbitrari e le risposte di debug possono divulgare percorsi assoluti del filesystem; tuttavia, non è stato dimostrato che i percorsi al di sotto della directory upload siano leggibili. Questo problema è risolto nelle versioni 5.3.50 e 5.7.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.