CVE-2026-107850 in Contao
Riassunto
di VulDB • 09/10/2026
Contao è un CMS open source. Dalla versione 5.7.1 alla 5.7.12, il file core-bundle/config/services.yaml registra l'oggetto di valutazione (voter) per l'accesso in anteprima come Contao\CoreBundle\Security\Voter\DataContainer\PreviewAccessVoter, sebbene la classe distribuita sia PreviewVoter. Symfony pertanto omette l'autocostituzione del voter e rimuove il servizio privato, quindi PreviewVoter::hasAccess() non impone mai il controllo di proprietà (ownership). Un utente backend non amministratore con il modulo preview_link può elencare ogni record tl_preview_link, ottenere URL di condivisione firmati creati da altri utenti e utilizzarli per visualizzare pagine non pubblicate tramite showUnpublished, pur mancando dei permessi di pagina. L'avviso di sicurezza non stabilisce la possibilità di modificare o eliminare link esterni (foreign links). Questo problema è risolto nella versione 5.7.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.