TYPO3 CMS: Löschen beliebiger Datenbankdaten über das Recycler-Modul

Beschreibung

Backend-Benutzer mit Zugriff auf das Recycler-Modul von TYPO3 CMS konnten Daten aus beliebigen in der TCA definierten Datenbanktabellen löschen – unabhängig davon, ob sie eine Berechtigung für die jeweilige Tabelle besassen. Angreifer konnten so kritische Website-Daten zerstören und die Website faktisch unbrauchbar machen. Betroffen sind TYPO3 CMS 10.0.0–10.4.54, 11.0.0–11.5.48, 12.0.0–12.4.40, 13.0.0–13.4.22 und 14.0.0–14.0.1. CVSS-Basiswert: 8.1 (Hoch).

Changelog

1. 2026-07-26 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in TYPO3 (DACH)

• Fehlende Autorisierungsprüfungen im Backend-Routing von TYPO3 CMS CVE-2025-59017
• TYPO3: CSRF in der Backend-Oberflaeche über Deep Links CVE-2024-55924
• TYPO3: Deserialisierung im Mail-Spool erlaubt PHP-Codeausfuehrung CVE-2026-0859
• TYPO3 CMS – Klartextpasswort in Datenbankfeldern gespeichert CVE-2026-6553
• TYPO3 – CSRF in der Backend-Oberfläche über Deep Links CVE-2024-55921
• TYPO3: Rechteausweitung zu System-Maintainer für Backend-Administratoren CVE-2025-47940