CVE-2026-107850

Nome do Software Vulnerável e Versões Afetadas Contao versões 5.7.1 até 5.7.11

Descrição No arquivo core-bundle/config/services.yaml, o votante de acesso à pré-visualização é registrado como ContaoCoreBundleSecurityVoterDataContainerPreviewAccessVoter, enquanto a classe real fornecida é PreviewVoter. Essa divergência faz com que o Symfony omita a autoconfiguração do votante e remova o serviço privado durante a compilação do container. Consequentemente, a verificação de propriedade na função PreviewVoter::hasAccess() nunca é executada. Um usuário de backend não administrador com acesso ao módulo preview link pode listar todos os registros de tl preview link e obter URLs de compartilhamento assinadas criadas por outros usuários. Essas URLs permitem que o usuário visualize páginas não publicadas via showUnpublished sem possuir as permissões de página necessárias.

Recomendações Atualizar para a versão 5.7.12.