CVE-2026-107848 in Contao
Riassunto
di VulDB • 09/10/2026
Contao è un CMS open source. Dalla versione 4.0.0 fino alle versioni 5.3.50 e 5.7.12, RequestTokenListener convalida REQUEST_TOKEN solo per le richieste POST, mentre il guard dichiarativo GET viene eseguito solo quando è presente un parametro act. Le azioni del backend inviate tramite il parametro key possono quindi essere eseguite senza token CSRF quando un utente autenticato del backend carica un URL controllato dall'attaccante. Le azioni raggiungibili rimangono limitate ai moduli disponibili per tale utente, e l'avviso dimostra azioni distruttive o che modificano lo stato piuttosto che escalation dei privilegi. Questo problema è risolto nelle versioni 5.3.50 e 5.7.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.