CVE-2026-81892

Nome do Software Vulnerável e Versões Afetadas EasyAdmin versões 4.0.0 até 4.29.15 EasyAdmin versões 5.x até 5.5.0

Description O EasyAdmin processa requisições de backend através de uma única rota de painel. Para ações personalizadas que utilizam Action::linkToRoute() e MenuItem::linkToRoute(), o software altera o controlador executado com base no parâmetro de consulta routeName durante o evento kernel.controller. Como essa troca ocorre após o firewall de segurança ter avaliado o controle de acesso para a URL original do painel e o valor de routeName não é validado, as regras de controle de acesso baseadas em caminho para a rota de destino são ignoradas. Isso permite que um usuário de backend com baixos privilégios execute o controlador de uma rota de destino caso conheça o nome da rota. Apenas as proteções baseadas em caminho são afetadas; controladores que impõem autorização via #[IsGranted] ou denyAccessUnlessGranted() permanecem protegidos.

Recommendations Atualizar para a versão 4.29.16. Atualizar para a versão 5.5.1.