Vulnérabilité dans contao/core-bundle (CVE-2026-107851)
Résumé
Vulnérabilité dans contao/core-bundle (CVE-2026-107851). Risque d'opérations non autorisées ou de divulgation. Exploitable via TableAccessVoter. Atténuation : mise à jour vers 5.7.12 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Due to a caching defect in the security voter that governs table-level access to Contao's Data Container (DCA) backend, a low-privileged, non-admin backend user can obtain unauthorized read, create, update, and delete access to database tables outside their assigned module permissions. This includes tables containing sensitive personal data, such as frontend member records and newsletter subscriber e-mail addresses.
Vulnerability Details
In plain terms: Contao's backend is organized into modules (e.g. "News", "Members"). Every backend user is assigned to a group, and that group decides which modules, and therefore which database tables, they are allowed to work with. Before Contao lets a user touch a table, it is supposed to check: "does this user's group actually include this table?"
To avoid doing that check over and over, Contao remembers the answer for the rest of the request. The problem is that it remembers the answer under the wrong label. Instead of remembering "is this user allowed to access table X", it only remembers "is this user allowed to access something", without recording which table the answer was actually about.
So if a request first checks a table the user IS allowed to see, and then checks a second, completely different table the user is NOT allowed to see, Contao reuses the first answer for the second table too. The user ends up with access to a table their group was never given permission for.
Technical detail
Contao's backend enforces…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-107851 a été découverte dans contao/core-bundle.
Des attaquants peuvent cibler un point d'entrée spécifique comme TableAccessVoter à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 4.3/10.
Action : mettez à jour contao/core-bundle vers 5.7.12 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « contao/core-bundle CVE-2026-107851 » sur le site de l'éditeur.
CVE-2026-107851 (contao/core-bundle) — CWE-524 / CVSS v3 4.3
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : TableAccessVoter / DefaultDataContainerVoter / tl_content / tl_favorites
Correctif : 5.7.12 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-524) affecte contao/core-bundle. Les attaquants atteignent le code vulnérable via TableAccessVoter.
Consultez l'avis de l'éditeur pour les versions affectées de contao/core-bundle. Surface d'attaque : TableAccessVoter / DefaultDataContainerVoter / tl_content / tl_favorites.
Gravité : Moyenne (CVSS 4.3/10). Risque d'opérations non autorisées ou de divulgation.
Mettre à jour vers 5.7.12.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'contao/core-bundle' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
contao/core-bundleを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade contao/core-bundle to 5.7.12ステージング環境で 5.7.12 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com