Contao pad‑traversal in ImagesController (CVE-2026-107844)

Wat er is gebeurd

ImagesController voegt de door de gebruiker geleverde {path}-parameter samen met de geconfigureerde afbeeldingsdoelmap via Path::join(), zonder de geïncanonicaliseerde paden te controleren met Path::isBasePath(). Daardoor kan een ongeauthenticeerd verzoek met gecodeerde parent-directory segments BinaryFileResponse laten teruggeven van bestanden onder de projectdirectory wanneer de bestandsnamen een extensie hebben die is toegestaan door contao.image.valid_extensions. De route kan ook gebruikt worden om te controleren of paden bestaan; debug‑reacties kunnen absolute filesystem-paden prijsgeven. Paden onder de upload‑directory werden in de gerapporteerde informatie niet als leesbaar aangetoond.

Technische oorzaak

De controller gebruikt Path::join() om een pad te bouwen uit een door de gebruiker aangeleverde waarde, maar roept Path::isBasePath() niet aan om te verifiëren dat het geïncanonicaliseerde pad binnen de bedoelde afbeeldingmap blijft. Het ontbreken van die controle maakt het ontsnappen uit de doelmap mogelijk via parent-directory segments.

Waarom dit belangrijk is

Een aanvaller kan ongeauthenticeerde verzoeken indienen die bestanden uit de projectdirectory teruggeven als bestandsnamen voldoen aan de toegestane afbeeldingsextensies, wat tot openbaarmaking van bestandsinhoud kan leiden. De route kan ook gebruikt worden om te detecteren of bepaalde paden bestaan; debug‑modus kan absolute paden blootleggen en daarmee informatielekken vergroten.

Wie is getroffen

De kwetsbaarheid treft contao/core-bundle volgens de advisories in de volgende reeksen: versies vanaf 4.1.0 tot (maar niet inclusief) 5.3.50, en versies vanaf 5.4.0-RC1 tot (maar niet inclusief) 5.7.12. In sommige beschrijvingen wordt ook 5.0.0 tot 5.3.50 genoemd — controleer de geïnstalleerde release aan de hand van het vendor-advisory.

Ontdekking en tijdlijn

Openbare advisories en databankvermeldingen zijn gepubliceerd op 2026-10-09. In de brongegevens staan timestamps zoals 2026-10-09T20:53:55+02:00 (advisory) en een NVD‑vermelding met 2026-10-09T20:17:10+02:00.

Getroffen en gepatchte versies

De advisories geven aan dat de kwetsbaarheid is opgelost in contao/core-bundle 5.3.50 en 5.7.12. De gerapporteerde aangetaste reeksen omvatten >= 4.1.0, < 5.3.50 en >= 5.4.0-RC1, < 5.7.12. Controleer uw versie ten opzichte van deze reeksen.

Oplossingen en mitigatie

Er is een vendorfix beschikbaar. De advisories noemen contao/core-bundle 5.3.50 en 5.7.12 als gepatchte releases.

Aanbevolen actie

Als u contao/core-bundle draait binnen de gemelde aangetaste reeksen, breng dan de leverancierpatch aan door bij te werken naar een gepatchte release (5.3.50 of 5.7.12). Controleer de geïnstalleerde versie en valideer de patch na uitrol.