TYPO3: Unzulässiger Zugriff auf Fallback-Speicher über File Abstraction Layer

Beschreibung

In TYPO3, einem quelloffenen PHP-basierten Content-Management-System, konnten Entitäten des File Abstraction Layer (FAL) direkt über den DataHandler persistiert werden. Dadurch konnten Angreifer mit einem gültigen Backend-Benutzerkonto Dateien im sogenannten Fallback-Storage referenzieren und deren Dateinamen sowie Inhalte auslesen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf TYPO3 8.7.57 ELTS, 9.5.46 ELTS, 10.4.43 ELTS, 11.5.35 LTS, 12.4.11 LTS oder 13.0.1.

Changelog

1. 2026-08-02 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in TYPO3 (DACH)

• Fehlende Autorisierungsprüfungen im Backend-Routing von TYPO3 CMS CVE-2025-59017
• TYPO3 CMS: Löschen beliebiger Datenbankdaten über das Recycler-Modul CVE-2025-59022
• TYPO3: CSRF in der Backend-Oberflaeche über Deep Links CVE-2024-55924
• TYPO3: Deserialisierung im Mail-Spool erlaubt PHP-Codeausfuehrung CVE-2026-0859
• TYPO3 CMS – Klartextpasswort in Datenbankfeldern gespeichert CVE-2026-6553
• TYPO3 – CSRF in der Backend-Oberfläche über Deep Links CVE-2024-55921