Authorized asset "preview file" requests bypass allows users without asset access to retrieve private preview metadata

Beschreibung

### Zusammenfassung Ein authentifizierter Benutzer mit niedrigem Privileg kann "Assets / Preview-Datei" für ein Asset aufrufen, das nicht angezeigt werden darf, und trotzdem Vorschau-Antwortdaten ("previewHtml") für dieses private Asset erhalten. Die zurückgegebene Vorschau-HTML enthielt eine private Vorschau-Bildroute mit dem Ziel-Private-Asset Id`, obwohl `canView` für den Angreiferaccount `false` war. ### Details 1. `assets/preview-file` akzeptiert eine böswillig kontrollierte `assetId` und macht Preview-Ausgaben. 2. Die Aktion erzwingt keine Autorisierung der Per-Asset-Ansicht vor der Rückgabe von Vorschauinhalten. 3. Infolgedessen kann ein authentifizierter Benutzer ohne Asset-View-Berechtigung weiterhin eine private Vorschauausgabe erhalten. Dies betrifft Craft-Installationen mit authentifizierten Benutzern von gemischten Privilegierungsstufen mit privaten Assets. ### Referenzen - d30df3112220db1ffd6726a3ed11857014c7fb27 - b1cddf72c98a

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Auf eine behobene Version aktualisieren: 5.9.14, 4.17.8.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Pixel & Tonic Craft CMS.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Update/Rollout auf behobene Version vorbereiten und priorisiert einspielen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.