Anmelden
Deutsch English Español Polski
Niedrig

Craft CMS has authenticated path traversal in `assets/icon`, allowing local `.svg` file read

  • Veröffentlicht: 09.07.2026
  • Aktualisiert: 11.10.2026 10:22

Summary

An authenticated path traversal in assets/icon allows local SVG file read by passing traversal sequences in the extension parameter. The issue is caused by file existence checks happening before extension validation.

Details

The endpoint:

  • src/controllers/AssetsController.php:1115-1123
  • actionIcon(string $extension) calls Assets::iconPath($extension) and returns sendFile($path, ...).

In Assets::iconPath():

  • Path is built from user-controlled extension:
    • src/helpers/Assets.php:906-909
  • If file_exists($path) is true, path is returned immediately:
    • src/helpers/Assets.php:910-912

Validation exists in Assets::iconSvg():

  • preg_match('/^\w+$/', $extension)
  • src/helpers/Assets.php:927-931

However, that validation is only reached if iconPath() does not find a file. So traversal payloads that resolve to existing .svg files bypass validation and are served by sendFile().

Impact

  • Authenticated users can read local .svg files accessible to the application process.

References

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Composer-Paket craftcms/cms >= 4.0.0-RC1, < 4.17.7, >= 5.0.0-RC1, < 5.9.13 4.17.7, 5.9.13

Verweise

CVSS-Wert -
CVSS-Vektor
CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Schwäche (CWE)
CWE-22
Plattform
Composer
Paket
craftcms/cms
Veröffentlicht
09.07.2026
Aktualisiert
11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-c43v-4cr8-6mvp - CC BY 4.0

Schwachstellenhistorie: craftcms/cms

Alle veröffentlichten Schwachstellen dieses Pakets (Composer-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (127) im Archiv
Einträge insgesamt
127
Erste → letzte
07.2021 08.2026
Ohne Fix
6
In Angriffen ausgenutzt
4

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 41
  • Mittel 65
  • Niedrig 12

Veröffentlichungen pro Jahr

Schweregrad:
  1. Craft CMS: Passkey login accepts replayed WebAuthn assertions
    Kritisch CVE-2026-72780 >= 5.0.0-RC1, < 5.10.5 5.10.5
  2. Craft CMS: Arbitrary user password reset leading to administrator account takeover
    Hoch CVE-2026-72786 >= 5.0.0-RC1, < 5.10.8 5.10.8
  3. Craft CMS: Authenticated RCE through Twig sandbox escape
    Hoch CVE-2026-72781 >= 5.0.0-RC1, < 5.10.7, >= 4.0.0-RC1, < 4.18.3 5.10.7, 4.18.3
  4. Craft CMS: Authenticated RCE via `condition.config` JSON cleanse bypass
    Hoch CVE-2026-72778 >= 5.0.0-RC1, < 5.10.6, >= 4.0.0-RC1, < 4.18.2 5.10.6, 4.18.2
  5. Craft CMS: RCE via missing cleanseConfig in FieldsController::actionRenderCardPreview
    Hoch CVE-2026-56382 >= 5.5.0, < 5.9.14 5.9.14
  6. Craft CMS has authenticated path traversal in `assets/icon`, allowing local `.svg` file read dieser Eintrag
    Niedrig CVE-2026-56394 >= 4.0.0-RC1, < 4.17.7, >= 5.0.0-RC1, < 5.9.13 4.17.7, 5.9.13
  7. Craft CMS: Potential authenticated Remote Code Execution via referrer redirect
    Hoch CVE-2026-55794 >= 5.9.0, < 5.10.0 5.10.0
  8. Craft CMS: DOM XSS via GitHub issue title in CraftSupport widget
    Hoch CVE-2026-55790 >= 5.0.0-RC1, < 5.9.23, >= 4.0.0-RC1, < 4.17.16 5.9.23, 4.17.16
  9. Craft CMS Vulnerable to Unauthorized Deletion of Destination Folders During Forced Moves
    Hoch CVE-2026-50282 >= 5.0.0-RC1, < 5.9.21, >= 4.0.0-RC1, < 4.17.14 5.9.21, 4.17.14
  10. Craft CMS's mass assignment via id in newAttributes during bulk duplicate overwrites existing elements
    Hoch CVE-2026-50281 >= 5.7.0, < 5.9.21 5.9.21
  11. Craft CMS: Missing peer-permission check in `AssetsController::actionDeleteFolder` allows deletion of other users' assets
    Hoch CVE-2026-50284 >= 5.0.0-RC1, < 5.9.22, >= 4.0.0-RC1, < 4.17.15 5.9.22, 4.17.15
  12. Craft CMS: Authorship spoofing in `entries/save-entry` via pre-check/post-mutation authorization gap
    Hoch CVE-2026-50279 >= 5.0.0-RC1, < 5.9.21 5.9.21
  13. Craft CMS: Blind SSRF and Arbitrary JavaScript Injection via Host Header Poisoning in actionResourceJs
    Kritisch CVE-2026-55791 >= 5.0.0-RC1, < 5.10, >= 4.0.0-RC1, < 4.18 5.10, 4.18
  14. Craft CMS's Missing Volume Permission Check in AssetsController::actionShowInFolder Allows Information Disclosure
    Hoch CVE-2026-44012 >= 5.0.0-RC1, < 5.9.18 5.9.18
  15. Craft CMS has Potential Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-44011 >= 4.0.0, < 4.17.12, >= 5.0.0, < 5.9.18 4.17.12, 5.9.18
  16. Craft CMS's Missing Authorization in GraphQL Address Resolver Allows Cross-Scope PII Disclosure
    Hoch CVE-2026-44010 >= 5.0.0, < 5.9.18, >= 4.0.0, < 4.17.12 5.9.18, 4.17.12
  17. Craft CMS is Vulnerable to Authenticated Remote Code Execution via Malicious Attached Behavior
    Hoch CVE-2026-33157 >= 5.6.0, < 5.9.13 5.9.13
  18. Craft CMS Vulnerable to Privilege Escalation/Bypass through UsersController->actionImpersonateWithToken()
    Hoch CVE-2026-32267 >= 4.0.0-RC1, < 4.17.6, >= 5.0.0-RC1, < 5.9.12 4.17.6, 5.9.12
  19. Craft CMS vulnerable to behavior injection RCE ElementIndexesController and FieldsController
    Hoch CVE-2026-32264 >= 4.0.0-RC1, < 4.17.5, >= 5.0.0-RC1, < 5.9.11 4.17.5, 5.9.11
  20. Craft CMS vulnerable to behavior injection RCE via EntryTypesController
    Hoch CVE-2026-32263 >= 5.6.0, < 5.9.11 5.9.11
Mehr anzeigen (20) 20 von 51 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.