Contao-Sicherheitshinweise
- Website
- contao.org · all feeds from this site
- Feed URL
https://contao.org/share/sicherheitshinweise.xml
Read it in your FeedListing reader
Or add to: Feedly Inoreader Raw feed
Latest posts
-
Offenlegung vertraulicher Informationen durch einen veralteten Suchindex
Datum : 25.08.2026 CVE-ID : CVE-2026-107842 Wird der Suchindex im Frontend nach dem Deaktivieren der Indizierung geschützter Seiten nicht geleert, bleiben die geschützten Ergebnisse für alle sichtbar.
-
Unbeschränktes erneutes Versenden von Aktivierungs-E-Mails
Datum : 25.08.2026 CVE-ID : CVE-2026-107843 Wenn eine Website ein Registrierungsmodul verwendet, kann jeder beliebige E-Mail-Adressen registrieren und das erneute Versenden der Aktivierungs-E-Mail beliebig oft auslösen.
-
Cross-Site-Request-Forgery bei benutzerdefinierten Backend-Aktionen
Datum : 25.08.2026 CVE-ID : CVE-2026-107848 Backend-Benutzer können möglicherweise benutzerdefinierte Aktionen ausführen, ohne ein gültiges CSRF-Token bereitzustellen.
-
Path-Traversal im Images-Controller
Datum : 25.08.2026 CVE-ID : CVE-2026-107844 Nicht authentifizierte Besucher können möglicherweise Bilder außerhalb des Dateiverzeichnisses einsehen.
-
Cross-Site-Scripting im Kommentar-Bundle
Datum : 25.08.2026 CVE-ID : CVE-2026-107845 Nicht authentifizierte Benutzer können Code in Frontend-Kommentare einschleusen, der anschließend im Backend ausgeführt wird.
-
Unzureichende Zugriffskontrolle im Vorschau-Links-Modul
Datum : 25.08.2026 CVE-ID : CVE-2026-107850 Ein Backend-Benutzer kann Vorschau-Links bearbeiten, auf die er keine Zugriffsberechtigung hat.
-
Cross-Site-Scripting in den Frontend-Suchergebnissen
Datum : 25.08.2026 CVE-ID : CVE-2026-104884 Ein Backend-Benutzer kann ein Skript in die Frontend-Suchergebnisse einschleusen, das im Browser des Opfers ausgeführt wird.
-
Nicht-Administratoren können sich selbst Berechtigungen erteilen, die sie implizit zu Administratoren machen
Datum : 25.08.2026 CVE-ID : CVE-2026-104883 Reguläre Backend-Benutzer mit Zugriff auf das Benutzermodul können sich selbst Berechtigungen erteilen, die sie implizit zu Administratoren machen.
-
Unzureichende Zugriffskontrolle im CSV-Import-Wizard
Datum : 25.08.2026 CVE-ID : CVE-2026-104882 Ein regulärer Backend-Benutzer kann CSV-Daten in beliebige Inhaltselemente und Formularfelder importieren, auf die er keine Zugriffsberechtigung hat.
-
Unzureichende Zugriffskontrolle im Newsletter-Modul
Datum : 25.08.2026 CVE-ID : CVE-2026-104881 Ein Backend-Benutzer kann Empfänger bearbeiten und Newsletter für Kanäle versenden, auf die er keine Zugriffsberechtigung hat.
-
Unzureichende Zugriffskontrolle im Table-Access-Voter
Datum : 25.08.2026 CVE-ID : CVE-2026-107851 Ein regulärer Backend-Benutzer kann in der Backend-Suche Ergebnisse für Module sehen, auf die er keine Zugriffsberechtigung hat.
-
Server-side request forgery über nicht validierte RSS-Feed-URLs
Datum : 13.07.2026 CVE-ID : CVE-2026-57232 Ein Backend-Benutzer mit Zugriff auf das Feed-Reader-Modul kann den Server dazu veranlassen, beliebige interne URLs abzurufen.
-
Path-Traversal im Jobs-Modul
Datum : 15.06.2026 CVE-ID : CVE-2026-55825 Es ist theoretisch möglich, über eine manipulierte Download-URL die Log-Datei eines anderen Jobs herunterzuladen.
-
Credentials-Disclosure im Crawler
Datum : 15.06.2026 CVE-ID : CVE-2026-55824 Wenn der Crawler so eingestellt ist, dass er geschützte Seiten crawlt, sendet er die Authorization-Credentials an externe URLs.
-
Remote Code Execution in Template-Closures
Datum : 25.11.2025 CVE-ID : CVE-2025-65960 Backend-Benutzer mit präziser Kontrolle über den Inhalt von Template-Closures können beliebige PHP-Funktionen ausführen, die keine erforderlichen Parameter haben.
-
Cross-Site-Scripting in Templates
Datum : 25.11.2025 CVE-ID : CVE-2025-65961 Es ist möglich, Code in die Template-Ausgabe einzufügen, der im Browser im Frontend und Backend ausgeführt wird.
-
Information-Disclosure im Frontend-Suchindex
Datum : 28.08.2025 CVE-ID : CVE-2025-57756 Geschützte Inhaltselemente, die als Fragmente gerendert werden, werden indiziert und sind in der Frontend-Suche öffentlich verfügbar.
-
Information-Disclosure im News-Modul
Datum : 28.08.2025 CVE-ID : CVE-2025-57757 Wenn ein Newsfeed geschützte Nachrichtenarchive enthält, werden deren Nachrichten nicht gefiltert und sind im RSS-Feed öffentlich zugänglich.
-
Unzureichende Zugriffskontrolle in den Backend-Votern
Datum : 28.08.2025 CVE-ID : CVE-2025-57758 Der Table-Access-Voter im Backend überprüft nicht, ob ein Benutzer Zugriff auf das dazugehörige Modul hat.
-
Unzureichendes Rechte-Management für Seiten- und Artikelfelder
Datum : 28.08.2025 CVE-ID : CVE-2025-57759 Unter bestimmten Umständen können Backend-Benutzer Felder von Seiten und Artikeln bearbeiten, ohne die erforderlichen Berechtigungen zu haben.