Mittel

Silverstripe Assets Module has a DBFile::getURL() permission bypass

Veröffentlicht: 16.04.2026
Aktualisiert: 11.10.2026 10:22

Impact

Images rendered in templates or otherwise accessed via DBFile::getURL() or DBFile::getSourceURL() incorrectly add an access grant to the current session, which bypasses file permissions.

This usually happens when creating an image variant, for example using a manipulation method like ScaleWidth() or Convert().

Note that if you use DBFile directly in the $db configuration for a DataObject class that doesn't subclass File, and if you were setting the visibility of those files to "protected", those files will now need an explicit access grant to be accessed. If you do not want to explicitly provide access grants for these files (i.e. you want these files to be accessible by default), you should use the "public" visibility.

Reported by

Restruct web & apps

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	silverstripe/assets	< 2.4.5, >= 3.0.0, < 3.1.3	2.4.5, 3.1.3

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Schwäche (CWE): CWE-266, CWE-863
Plattform: Composer
Paket: silverstripe/assets
Veröffentlicht: 16.04.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-jgcf-rf45-2f8v - CC BY 4.0

Schwachstellenhistorie: silverstripe/assets

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 6
Erste → letzte: 11.2019 04.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 5

Veröffentlichungen pro Jahr

2019: 1
2020: 0
2021: 0
2022: 4
2023: 0
2024: 0
2025: 0
2026: 1

16.04.2026

Silverstripe Assets Module has a DBFile::getURL() permission bypass dieser Eintrag

Mittel · 5.3 CVE-2026-24749 < 2.4.5, >= 3.0.0, < 3.1.3 2.4.5, 3.1.3
21.11.2022

Silverstripe XSS in shortcodes

Mittel · 5.4 CVE-2022-38724 >= 1.0.0, < 1.11.1 1.11.1
21.11.2022

XSS via uploaded gpx file

Mittel · 5.4 CVE-2022-38147 >= 1.0.0, < 1.11.1 1.11.1
29.06.2022

Unpublished, protected files can be published via shortcode

Mittel · 4.3 CVE-2022-29858 >= 1.0.0, < 1.10.1 1.10.1
24.05.2022

SilverStripe Folders migrated from 3.x may be unsafe to upload to

Hoch · 7.5 CVE-2020-9280 >= 1.0.0, < 1.4.7, >= 1.5.0, < 1.5.2 1.4.7, 1.5.2
12.11.2019

Lack of access control on upoaded files

Mittel · 5.3 CVE-2019-12245 >= 1.0.0, < 1.3.5, >= 1.4.0, < 1.4.4 1.3.5, 1.4.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden