CVE-2025-47778
CVE-2025-47778 · Sulu vulnerable to XXE in SVG File upload Inspector
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Sulu is an open-source PHP content management system based on the Symfony framework. Starting in versions 2.5.21, 2.6.5, and 3.0.0-alpha1, an admin user can upload SVG which may load external data via XML DOM library. This can be used for insecure XML External Entity References. The problem has been patched in versions 2.6.9, 2.5.25, and 3.0.0-alpha3. As a workaround, one may patch the effect file `src/Sulu/Bundle/MediaBundle/FileInspector/SvgFileInspector.php` manually.
CVSS 6.1 · Средний · EPSS 0,5% · Есть исправление
- Опубликовано
- Обновлено
Стек: php
Затронутые продукты и версии
sulu
- Версии
- >= 2.5.21, < 2.5.25: Затронуто
- >= 2.6.5, < 2.6.9: Затронуто
- >= 3.0.0-alpha1, < 3.0.0-alpha3: Затронуто
Нет опубликованного исправления
sulu/sulu Packagist
- Версии
- 2.5.21
- 2.5.22
- 2.5.23
- 2.5.24
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 2.5.21, < 2.5.25
Обновитесь до 2.5.25
sulu/sulu Packagist
- Версии
- 2.6.5
- 2.6.6
- 2.6.7
- 2.6.8
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 2.6.5, < 2.6.9
Обновитесь до 2.6.9
sulu/sulu Packagist
- Версии
- 3.0.0-alpha1
- 3.0.0-alpha2
- Затронутые диапазоны версий
- ECOSYSTEM: ≥ 3.0.0-alpha1, < 3.0.0-alpha3
Обновитесь до 3.0.0-alpha3