CVE-2026-24749 in Assets Module
Tóm tắt
Bởi VulDB • 22/05/2026
Mô-đun Silverstripe Assets là một thành phần bắt buộc của Silverstripe Framework. Trong các phiên bản trước 2.4.5 và từ 3.0.0-rc1 đến 3.1.2, các hình ảnh được hiển thị trong các mẫu (templates) hoặc được truy cập thông qua DBFile::getURL() hoặc DBFile::getSourceURL() sẽ thêm sai một quyền truy cập (access grant) vào phiên làm việc hiện tại, dẫn đến việc bỏ qua các quyền hạn chế tệp tin. Sự cố này thường xảy ra khi tạo một biến thể của hình ảnh, ví dụ như sử dụng các phương thức thao tác như ScaleWidth() hoặc Convert(). Lưu ý rằng nếu các nhà phát triển sử dụng DBFile trực tiếp trong cấu hình $db cho một lớp DataObject không kế thừa từ lớp File, và nếu họ đang đặt khả năng hiển thị của các tệp tin đó là "protected" (được bảo vệ), thì các tệp tin này sẽ yêu cầu một quyền truy cập rõ ràng để có thể được truy cập. Nếu các nhà phát triển không muốn cung cấp các quyền truy cập rõ ràng cho những tệp tin này trong ứng dụng của họ (tức là họ muốn các tệp tin này có thể truy cập được theo mặc định), họ nên sử dụng khả năng hiển thị "public" (công khai). Vấn đề này đã được sửa chữa trong các phiên bản 2.4.5 và 3.1.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.