CVE-2026-82394 in Sulu
Riassunto
di VulDB • 31/08/2026
Sulu è un sistema di gestione dei contenuti (CMS) open-source basato sul framework Symfony. Prima delle versioni 2.6.25 e 3.0.8, l'endpoint preview-link e il file src/Sulu/Bundle/PreviewBundle/Application/Manager/PreviewLinkManager.php non impongono il permesso VIEW per la risorsa di destinazione in PreviewLinkManager::generate() o PreviewLinkManager::revoke(). Un utente amministratore autenticato che conosce un identificativo della risorsa target può creare o revocare un link di anteprima per qualsiasi pagina, articolo o snippet, inclusi i contenuti in uno webspace o area non visualizzabili dall'utente. L'URL di anteprima generata è pubblica e risolve il contenuto tramite un token opaco, consentendo all'utente o a chiunque riceva il link di leggere contenuti protetti senza autenticazione. Questo problema è risolto nelle versioni 2.6.25 e 3.0.8.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.