CVE-2026-126662

Nome do Software Vulnerável e Versões Afetadas Contao versões 4.0.0 até 5.3.53 Contao versões 5.4.0 até 5.7.16 Contao versões 6.0.0 até 6.0.5

Description Existe uma falha de bypass de controle de acesso na operação Edit-Multiple do gerenciador de arquivos. Usuários do backend com restrições de filemount podem modificar pastas fora de seu filemount atribuído se possuírem as permissões de campo protected ou syncExclude. Ao enviar caminhos de pastas externas através do parâmetro IDS, um invasor pode publicar pastas protegidas ou excluí-las da sincronização DBAFS, o que pode expor arquivos para download público.

Recommendations Atualizar as versões do Contao 4.0.0 até 5.3.53 para a versão 5.3.54. Atualizar as versões do Contao 5.4.0 até 5.7.16 para a versão 5.7.17. Atualizar as versões do Contao 6.0.0 até 6.0.5 para a versão 6.0.6.