Hoch

ezsystems/ezpublish-legacy has a SQL injection in dfscleanup

Veröffentlicht: 29.05.2026
Aktualisiert: 11.10.2026 10:22

NB: All tags and branches in this repository are past their end of life, so the vulnerability will not be fixed. The advisory is posted on the request of the researcher, for the information of anyone who might still use this software.

Impact

There is a security vulnerability in eZ Publish Legacy, affecting the dfscleanup.php script and the _getFileList function of the eZDFSFileHandlerMySQLiBackend class (kernel/private/classes/clusterfilehandlers/dfsbackends/mysqli.php). The vulnerability allows an attacker with local shell access and sufficient privileges to run dfscleanup.php to perform a union-based SQL injection against the eZ Publish MySQL database, potentially exposing sensitive data such as user credentials.

It is known to affect the branch 2019.03, and it may well affect other branches.

Credit

The issue was found and reported by security auditor Timothé Ridel from Advens: https://www.advens.com/

Patches

None, the software is past its end of life.

Workarounds

None.

Resources

Report by Advens: https://github.com/Goaterino/ezpublish-legacy-lab/blob/main/SQL%20injection%20and%20arbitrary%20file%20deletion%20in%20dfscleanup.md

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Composer-Paket	ezsystems/ezpublish-legacy	= 2019.03	keine Korrektur

Verweise

CVSS-Wert 7.1/10

CVSS-Vektor: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Schwäche (CWE): CWE-89
Plattform: Composer
Paket: ezsystems/ezpublish-legacy
Veröffentlicht: 29.05.2026
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-xg9x-h37w-h3r3 - CC BY 4.0

Schwachstellenhistorie: ezsystems/ezpublish-legacy

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (11) im Archiv

Einträge insgesamt: 11
Erste → letzte: 09.2021 05.2026
Ohne Fix: 1
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Kritisch 1
Hoch 6
Mittel 4

Veröffentlichungen pro Jahr

2021: 1
2022: 2
2023: 0
2024: 7
2025: 0
2026: 1

29.05.2026

ezsystems/ezpublish-legacy has a SQL injection in dfscleanup dieser Eintrag

Hoch · 7.1 CVE-2026-38739 = 2019.03 keine Korrektur
15.05.2024

EZsystems Remote code execution in file uploads

Hoch ghsa-9895-26wr-4fgv >= 2019.3.0, < 2019.3.4.2, >= 2017.12.0, < 2017.12.7.2, >= 5.4.0, < 5.4.14.1 2019.3.4.2, 2017.12.7.2, 5.4.14.1
15.05.2024

eZ Publish Legacy Passwordless login for LDAP users

Hoch ghsa-p9mp-vq4v-v5m5 >= 2018.9.0, < 2018.9.1.1, >= 2018.6.0, < 2018.6.1.2, >= 2011.0.0, < 2017.12.4.1, >= 5.4.0, < 5.4.12.1, >= 5.3.0, < 5.3.12.4 2018.9.1.1, 2018.6.1.2, 2017.12.4.1, 5.4.12.1, 5.3.12.4
15.05.2024

eZ Publish Legacy Patch EZSA-2018-001 for Several vulnerabilities

Hoch ghsa-82rv-45pc-v28w >= 2011.0.0, < 2017.12.2.1, >= 5.4.0, < 5.4.11.3, >= 5.3.0, < 5.3.12.3 2017.12.2.1, 5.4.11.3, 5.3.12.3
15.05.2024

eZ Publish Information disclosure in backend content tree menu

Hoch ghsa-cc2j-92jq-wgjg >= 2011.0.0, < 2017.8.1.1, >= 5.4.0, < 5.4.10.1, >= 5.3.0, < 5.3.12.2 2017.8.1.1, 5.4.10.1, 5.3.12.2
24.05.2022

eZ Publish Kernel and Legacy Unrestricted Upload of File with Dangerous Type

Kritisch · 9.8 CVE-2020-10806 < 5.4.14.1, >= 2017, < 2017.12.7.2, >= 2019, < 2019.03.4.2 5.4.14.1, 2017.12.7.2, 2019.03.4.2
07.09.2021

Content object state fetch functions open to SQL injection

Hoch ghsa-jpwx-ffjq-wr4w >= 2018.06.0, < 2019.03.6.1, < 2017.12.7.4 2019.03.6.1, 2017.12.7.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden