CVE-2026-24749 in Assets Module
Riassunto
di VulDB • 16/06/2026
Il modulo Silverstripe Assets è un componente obbligatorio di Silverstripe Framework. Nelle versioni precedenti alla 2.4.5 e dalla 3.0.0-rc1 alla 3.1.2, le immagini renderizzate nei template o altrimenti accessibili tramite DBFile::getURL() o DBFile::getSourceURL() aggiungono erroneamente un'autorizzazione di accesso (access grant) alla sessione corrente, aggirando i permessi dei file. Questo avviene solitamente durante la creazione di una variante dell'immagine, ad esempio utilizzando metodi di manipolazione come ScaleWidth() o Convert(). Si noti che se gli sviluppatori utilizzano DBFile direttamente nella configurazione $db per una classe DataObject che non eredita da File e impostano la visibilità di tali file su "protected", ora sarà necessario un'autorizzazione di accesso esplicita (explicit access grant) per accedere a questi file. Se gli sviluppatori non desiderano fornire autorizzazioni di accesso esplicite per questi file nelle proprie applicazioni (ovvero, se vogliono che i file siano accessibili per impostazione predefinita), dovrebbero utilizzare la visibilità "public". Questo problema è stato risolto nelle versioni 2.4.5 e 3.1.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.