CVE-2026-126663

Nome do Software Vulnerável e Versões Afetadas Contao versões 4.0.0 até 5.3.53 Contao versões 5.4.0 até 5.7.16 Contao versões 6.0.0 até 6.0.5

Description Um problema de path traversal permite que editores de conteúdo leiam arquivos de imagem em qualquer local do sistema de arquivos por meio da tag de inserção {{image::}}. Isso ocorre porque sequências codificadas em percentual, como ..%2f, podem ignorar a função Validator::isInsecurePath() antes da aplicação do rawurldecode(). Consequentemente, o frontend pode redimensionar e servir arquivos de imagem localizados fora do diretório de arquivos designado.

Recommendations Atualize o Contao versões 4.0.0 até 5.3.53 para a versão 5.3.54 ou posterior. Atualize o Contao versões 5.4.0 até 5.7.16 para a versão 5.7.17 ou posterior. Atualize o Contao versões 6.0.0 até 6.0.5 para a versão 6.0.6 ou posterior.